Acuerdo de tratamiento de datos (DPA)

El «Cliente», responsable del tratamiento, es la persona física o jurídica identificada en la ficha contractual del anexo 1. Quien lo obligue debe disponer de la autoridad necesaria.

El «Prestador», encargado del tratamiento, es MIKE MC FORMATIONS LLC, operador de AgentsMail.io, 1704 Llano St Ste B-1433, Santa Fe, NM 87505, USA. Su representante autorizado se identifica en la ficha contractual aplicable. Contacto para protección de datos e incidentes: support@agentsmail.io.

Este acuerdo («DPA») complementa el contrato de servicio de AgentsMail.io identificado en el anexo 1 («Contrato principal»). Se limita a los datos personales que el Prestador trata por cuenta del Cliente en ese marco («Datos del Cliente»). «Tratamiento», «violación de datos» e «interesado» tienen el significado del RGPD.

El Cliente determina las finalidades y medios esenciales. El Prestador actúa por su cuenta para contactos, importaciones, campañas, envío de correos y estadísticas, únicamente en la medida en que se proporcionen y configuren esas funciones. El anexo 1 detalla objeto, naturaleza, finalidades, duración, datos e interesados.

Los tratamientos con finalidades propias del Prestador, como su facturación u obligaciones legales, se identifican por separado en la información pertinente. Esto no autoriza a reutilizar listas, contenidos o estadísticas del Cliente para campañas propias, venderlos o comunicarlos para usos independientes.

El Prestador trata los Datos del Cliente únicamente conforme a sus instrucciones documentadas, incluidas las transferencias internacionales. El DPA, sus anexos acordados, los ajustes del servicio y las solicitudes escritas de personas autorizadas son instrucciones dentro del Contrato principal. Una instrucción nueva que modifique el alcance requiere acuerdo escrito previo sobre su ejecución.

Si el tratamiento es exigido por el derecho de la Unión o de un Estado miembro aplicable al Prestador, este informa al Cliente antes de tratar los datos, salvo prohibición legal por razones importantes de interés público. Una solicitud basada en el derecho de un tercer país se examina conforme al RGPD, incluido su artículo 48, y al mecanismo de transferencia aplicable; no equivale por sí sola a instrucciones del Cliente.

El Prestador informa inmediatamente si considera que una instrucción infringe el RGPD u otra norma de protección de datos de la Unión o de un Estado miembro. Suspende esa instrucción mientras se aclara, sin suspender innecesariamente tratamientos lícitos. No determina nuevas finalidades en lugar del Cliente.

El Cliente dispone de base legal válida, informa a los interesados, limita los datos a lo necesario, mantiene su exactitud y define plazos de conservación adecuados. Garantiza la licitud de instrucciones y contenidos importados o enviados y organiza la gestión de solicitudes y oposiciones.

Este DPA no es consentimiento publicitario ni validación de una lista. Ser antiguo alumno o cliente no autoriza por sí solo cualquier correo comercial. Antes de cada campaña, el Cliente comprueba las normas, pruebas de consentimiento o todas las condiciones de la excepción para clientes existentes. Respeta bajas, oposiciones, exclusiones y límites de conservación; no reimporta contactos excluidos para eludir su elección.

El Cliente evalúa las garantías del Prestador antes de confiarle datos. Este reparto de tareas no reduce las obligaciones propias del Prestador conforme al RGPD.

El Prestador limita el acceso a quienes lo necesitan para operaciones autorizadas, garantiza su obligación de confidencialidad contractual o legal y que conocen las instrucciones y sus deberes. La confidencialidad se mantiene tras finalizar su intervención.

El Prestador aplica y mantiene medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD. Según corresponda, incluyen confidencialidad, integridad, disponibilidad, resiliencia, restauración y evaluación periódica de su eficacia. El anexo 2 describe mecanismos y responsabilidades; las medidas particulares y pruebas de control se documentan en la ficha de seguridad acordada.

Los compromisos específicos sobre cifrado, copias, restauración y disponibilidad son los de la ficha de seguridad contractual aplicable. No reducen la obligación legal de seguridad adecuada. Los cambios materiales se documentan y no deben disminuir la protección acordada.

El Cliente concede autorización general escrita para los subencargados identificados nominalmente en el anexo 3 contractual aplicable. La autorización cubre las entidades y tratamientos acordados, no indistintamente todas las integraciones disponibles.

Antes de añadir o sustituir un subencargado, el Prestador informa por escrito de su entidad, función, datos, países de tratamiento y acceso, garantías y fecha prevista. Concede un preaviso razonable que permita oponerse efectivamente, precisado en la ficha contractual antes del cambio. El Cliente puede oponerse por motivos documentados de protección de datos.

Las partes buscan garantías adicionales, un proveedor alternativo o no utilizarlo para los datos afectados. El nuevo proveedor no los recibe mientras la oposición siga sin resolverse. Sin solución, el Cliente puede finalizar la parte afectada y solicitar devolución o supresión conforme al artículo 10. Las consecuencias económicas se rigen por el Contrato principal sin impedir derechos imperativos.

El Prestador verifica garantías suficientes e impone por escrito las obligaciones de protección equivalentes pertinentes, incluidas seguridad y asistencia. Sigue siendo plenamente responsable ante el Cliente del cumplimiento de sus subencargados. Facilita la información contractual útil, ocultando solo lo estrictamente necesario ajeno al control.

Teniendo en cuenta la naturaleza del tratamiento, el Prestador ayuda, mediante medidas técnicas y organizativas adecuadas y en la medida de lo posible, a responder a solicitudes de información, acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas cuando proceda.

Transmite sin dilación indebida las solicitudes recibidas directamente sobre Datos del Cliente al contacto del anexo 1 y no responde sobre el fondo salvo instrucción u obligación legal. Conserva elementos útiles, ayuda a localizar datos y ejecuta las acciones lícitas solicitadas. El Cliente dirige la verificación de identidad, decisión y respuesta dentro del plazo legal.

Según el tratamiento y la información disponible, ayuda a cumplir los artículos 32 a 36 del RGPD: seguridad, violaciones, evaluaciones de impacto y consultas previas. Facilita documentación e información técnica útil. Pueden acordarse modalidades o gastos en el Contrato principal, sin impedir obligaciones legales, actuaciones urgentes ni derechos efectivos.

El Prestador notifica al Cliente las violaciones que afecten a sus datos sin dilación indebida desde que tenga conocimiento. No espera al final de la investigación para la primera notificación. Los contactos y escalado son los de la ficha de seguridad contractual; ningún plazo acordado permite retrasar injustificadamente la notificación.

La notificación incluye, según la información disponible, naturaleza del incidente, categorías y números aproximados de personas y registros afectados, contacto de seguimiento, consecuencias probables y medidas adoptadas o propuestas para remediarlo y mitigar efectos. La información adicional se facilita progresivamente sin dilación indebida.

El Prestador contiene el incidente, conserva pruebas necesarias, documenta hechos y coopera en análisis y corrección. El Cliente decide las notificaciones a autoridades e interesados según sus obligaciones. El Prestador solo las realiza por cuenta del Cliente por instrucción, salvo obligación legal propia.

El Prestador facilita información para demostrar cumplimiento del artículo 28 del RGPD y este DPA. Permite y contribuye a auditorías, incluidas inspecciones, del Cliente o de un auditor independiente autorizado por él.

Las partes organizan razonablemente alcance, confidencialidad, acceso y calendario para proteger a otros clientes y la seguridad. Documentos recientes pueden ser un primer paso sin sustituir una inspección necesaria. Ningún límite de frecuencia, preaviso o coste puede impedir un control justificado por un incidente, duda seria de cumplimiento o petición de autoridad. El Prestador corrige los incumplimientos que le correspondan y documenta las acciones acordadas.

Cada parte mantiene registros y coopera con las autoridades competentes en la medida exigida por sus normas aplicables.

El anexo 3 y las fichas contractuales de transferencia identifican países de alojamiento, copias y acceso remoto, incluidos los del operador estadounidense y equipos de asistencia cuando corresponda. Elegir una región europea no demuestra ausencia de transferencias fuera del Espacio Económico Europeo («EEE»).

El Prestador solo realiza transferencias sujetas al capítulo V del RGPD por instrucciones documentadas y tras identificar un mecanismo válido para el flujo. El anexo 3 indica exportador, importador, países, datos, accesos, fundamento y comprobaciones necesarias.

Solo puede invocarse adecuación cuando cubra efectivamente la entidad destinataria y el tratamiento. No se presume adhesión al Data Privacy Framework. Si se requieren garantías del artículo 46, las partes establecen instrumento apropiado, evaluación y medidas complementarias antes de transferir.

Las cláusulas de la Decisión (UE) 2021/914 no se incorporan automáticamente. Su ámbito, incluido el artículo 3 del RGPD para el tratamiento del importador, módulo, opciones y anexos se determinan para el flujo correspondiente. Se utiliza otro mecanismo válido cuando esas cláusulas no sean aplicables.

El Prestador informa sin dilación indebida si deja de poder respetar las garantías y suspende el flujo hasta regularizarlo. Salvo prohibición legal, informa de solicitudes de acceso de autoridades, examina su legalidad y limita la comunicación a lo legalmente exigido.

El DPA entra en vigor en la fecha de su última aceptación válida con los anexos contractuales aplicables. Se aplica durante el tratamiento para el Cliente y hasta la devolución o supresión completa según este artículo. No legaliza retroactivamente tratamientos o transferencias ilícitos anteriores.

Al finalizar el servicio, según elección documentada del Cliente, el Prestador devuelve los datos en formato acordado y elimina las copias restantes, o los elimina directamente, salvo que el derecho de la Unión o de un Estado miembro exija conservación. Los plazos y modalidades, incluidas copias y subencargados, figuran en el anexo 1. Confirma por escrito la ejecución a petición del Cliente.

Hasta su supresión, los datos conservados siguen protegidos, aislados de usos ordinarios y sin reutilización. Si se restaura una copia, se reaplican las instrucciones vigentes de supresión y oposición. Toda conservación legal excepcional se limita a datos, finalidad y plazo exigidos y se informa al Cliente salvo prohibición legal.

En caso de contradicción sobre protección de Datos del Cliente, este DPA prevalece sobre el Contrato principal. Las normas imperativas del RGPD y, cuando proceda, cláusulas de transferencia válidamente celebradas prevalecen sobre estipulaciones incompatibles.

El derecho aplicable, jurisdicción y responsabilidad del Contrato principal solo se aplican en cuanto sean compatibles con derechos imperativos, competencias de autoridades y obligaciones legales. Ningún límite contractual reduce derechos de interesados ni poderes de la autoridad de control.

Las modificaciones sustanciales del DPA o anexos se documentan y aceptan válidamente; el artículo 5 rige los cambios de subencargados. La invalidez de una cláusula no afecta a las demás cuando puedan subsistir legalmente.

El documento contractual de referencia es el DPA AgentsMail.io, versión 1.0 del 12 de octubre de 2026, con anexos 1 a 3 y, cuando corresponda, el instrumento de transferencia separado identificado en la ficha contractual.

Para cada Cliente, la ficha contractual y pruebas de aceptación identifican las partes, firmantes autorizados y sus funciones, Contrato principal, versiones de anexos, fecha real de aceptación y firma o acto electrónico correspondiente. Son datos de esa relación contractual y no se publican en esta página general.

Las partes deben conservar la versión aplicable y la prueba de aceptación. La fecha de publicación no sustituye a la fecha individual. La consulta de la página, creación de cuenta o elección de oferta no demuestra por sí sola aceptación del DPA. Puede solicitar copia de los documentos aplicables a support@agentsmail.io.

La ficha contractual identifica nombre o identidad legal del Cliente, dirección, representante autorizado, contactos para instrucciones, derechos e incidentes, organización AgentsMail y Contrato principal. Precisa funciones y campañas autorizadas, finalidades y duración del servicio.

Objeto y operaciones: gestión de contactos y envío de correos según las funciones elegidas; importación, registro, organización, almacenamiento, consulta, selección, actualización, envío, gestión de bajas e incidencias de entrega, estadísticas autorizadas, exportación y supresión. El seguimiento de aperturas o clics necesita instrucción y fundamento apropiados; el DPA por sí solo no lo autoriza.

Interesados: prospectos, suscriptores, clientes y otros contactos lícitamente conservados por el Cliente, y miembros autorizados de su organización. Las categorías particulares, incluidos menores cuando corresponda, y precauciones necesarias se especifican en la ficha.

Datos: nombre, apellidos, email, listas, etiquetas y atributos pertinentes facilitados por el Cliente, origen, estado de consentimiento u oposición y pruebas, contenidos y datos de entrega o interacción necesarios para las funciones autorizadas. Otros campos y metadatos se limitan al alcance acordado.

Exclusiones: datos de los artículos 9 o 10 del RGPD, documentos de identidad, información médica, financiera detallada o expedientes educativos detallados, salvo acuerdo escrito específico tras evaluar riesgos y garantías.

La ficha fija duración y momento inicial para contactos, campañas y estadísticas, registros, lista mínima de oposición y copias. Precisa elección al finalizar el servicio, formato y canal de devolución, plazos de exportación y supresión activa, ciclo de borrado de copias y excepciones legales, finalidad, acceso y duración. Este anexo general no establece plazo uniforme ni borrado inmediato de todas las copias.

Acceso y separación: el servicio incluye cuentas, organizaciones distintas, roles, controles de autorización en servidor y permisos API/MCP. El Cliente asigna accesos a miembros y agentes, protege credenciales y revoca accesos innecesarios. El Prestador regula los accesos de sus colaboradores y su confidencialidad.

Ciclo de vida: existen mecanismos de exportación, supresión, baja y gestión de rebotes y quejas. El Cliente define instrucciones y facilita los elementos necesarios. Las solicitudes de asistencia o incidentes se dirigen a support@agentsmail.io y al contacto del Cliente indicado en la ficha contractual.

La ficha de seguridad describe para cada medida alcance, responsable, referencia de prueba y fecha de control: privilegios administrativos y autenticación; separación de entornos y secretos; protección de comunicaciones y almacenamiento; copias y restauración; registros y alertas; mantenimiento y vulnerabilidades; derechos y propagación de supresiones; incidentes y escalado.

Los objetivos de restauración, retención, disponibilidad y notificación son los expresamente acordados en esa ficha. Se documentan controles y correcciones. El artículo 4 se aplica independientemente de objetivos particulares; este anexo no atribuye certificación SOC 2 u otra a AgentsMail.

Vercel aloja y ejecuta el sitio: pueden estar implicadas solicitudes, IP, registros y datos tratados por las funciones solicitadas. Vercel Inc. publica la dirección 440 N Barranca Avenue #4133, Covina, CA 91723, United States. La distribución y accesos pueden ser internacionales.

Supabase proporciona base de datos y almacenamiento asociado según uso: cuentas, organizaciones, contactos, contenidos, eventos y archivos afectados. El operador indica Irlanda para la base; esa región no describe todos los accesos de asistencia y copias.

Amazon Web Services, mediante Amazon SES, envía correos: remitentes, destinatarios, contenidos, metadatos, rebotes y quejas. El operador indica Irlanda para el envío; los demás tratamientos, registros y accesos requieren su propia calificación.

La página de Subencargados detalla otros proveedores por función: pagos, orquestación, diagnóstico, correos de la aplicación e integraciones opcionales. La ficha contractual identifica entidades realmente utilizadas, direcciones, funciones, datos, países de almacenamiento y acceso, duraciones, DPA y versiones aplicables. Las herramientas conectadas directamente por el Cliente se distinguen de proveedores elegidos por el Prestador.

Cada ficha de transferencia identifica exportador e importador y sus roles, países y accesos, datos y finalidades, ámbito territorial del RGPD, mecanismo del capítulo V y pruebas, evaluación y medidas complementarias, fecha y responsable de validación. Trata separadamente la relación Cliente–MIKE MC FORMATIONS LLC y los flujos a proveedores. Se aplica el artículo 9 antes de cada transferencia correspondiente.

• Lista de subencargados de AgentsMail
• Vercel — DPA
• Supabase — DPA
• AWS — subencargados