Contrato de encargado del tratamiento (DPA)

Traducción facilitada solo a título informativo; únicamente la versión alemana es vinculante.

Versión 2026-10-16, actualizada el 16 de octubre de 2026; efectiva para cada cliente desde su celebración conforme a la cláusula 2

El presente contrato de encargado del tratamiento («DPA») complementa los Términos y condiciones (el «Contrato principal») entre Benjamin Wagner, que actúa bajo la marca Customermates, An den Kasernen 25, 68167 Mannheim, Alemania (el «Proveedor» o «Encargado del tratamiento»), y el cliente (el «Cliente» o «Responsable del tratamiento»), y forma parte integrante de ellos. Regula, conforme al art. 28 del RGPD, el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente en el marco de la oferta de software como servicio, incluida la función opcional de cuentas conectadas (correo electrónico, mensajería y operaciones en redes sociales, así como calendario) y el asistente de IA alojado Mate.

Esta versión solo entra en vigor para un Cliente cuando se celebra conforme a la cláusula 2. La mera publicación, visualización o disponibilidad de este documento no celebra ni modifica ningún DPA para un cliente existente.

1. Objeto, roles y duración

El objeto de este DPA es el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente y según sus instrucciones documentadas en el cumplimiento del Contrato principal.

Respecto de los datos personales comprendidos en este DPA, en particular los registros del CRM, los buzones conectados, los mensajes, los contactos y los calendarios del Cliente, así como los contenidos y datos de interacción de redes sociales, los perfiles, las solicitudes de conexión, los datos de búsqueda y de listas de Sales Navigator y los contenidos de responsabilidad del Cliente incluidos en una solicitud a Mate, el Cliente actúa como responsable del tratamiento y el Proveedor como encargado del tratamiento en el sentido del art. 4 del RGPD. Las plataformas de comunicación subyacentes que el Cliente conecta (por ejemplo, Google, Microsoft, LinkedIn, Meta/WhatsApp, Meta/Instagram y Telegram) actúan como responsables independientes de sus propios servicios.

Esta asignación no afecta a la condición del Proveedor como responsable independiente de sus propios datos de sitio web, cuenta, facturación, seguridad y soporte, que se describen en la política de privacidad del Proveedor y no son objeto de este DPA.

Este DPA entra en vigor junto con el Contrato principal y permanece vigente mientras el Proveedor trate datos personales por cuenta del Cliente, con independencia de la extinción del Contrato principal, hasta que todos esos datos hayan sido suprimidos o devueltos conforme a la cláusula 11.

2. Celebración y partes contratantes

Las partes contratantes de este DPA son el Proveedor indicado arriba y el Cliente, que se determina por los datos de cuenta y de empresa registrados en la cuenta del Cliente.

Este DPA se celebra en formato electrónico en el sentido del art. 28, apartado 9, del RGPD cuando un administrador del sistema autorizado acepta, en nombre del cliente empresarial y durante la incorporación, el Contrato principal y esta versión designada del DPA. Una versión posterior designada solo modifica este DPA si un administrador del sistema autorizado la acepta por vía electrónica, tras la notificación descrita en la cláusula 10 del Contrato principal, a través del flujo de documentos legales del servicio gestionado. La actualización de la lista que se mantiene en Subencargados conforme a la cláusula 9 no constituye una modificación de este DPA y sigue sujeta al procedimiento separado de notificación y objeción previsto en esa cláusula. Previa solicitud, el Proveedor facilita al Cliente una copia de este DPA en forma de texto (Textform).

Si el Cliente no determina por sí mismo los fines y medios del tratamiento, sino que pone el servicio a disposición de sus propios clientes sobre la base de un contrato propio, por ejemplo como revendedor o socio, el Cliente actúa frente a esos clientes como encargado del tratamiento y el Proveedor como subencargado del tratamiento. En ese caso, toda referencia de este DPA al Cliente como responsable del tratamiento se entenderá hecha al Cliente que actúa conforme a las instrucciones documentadas de su propio cliente. El Cliente garantiza que está facultado para celebrar este DPA y para impartir las instrucciones que de él se derivan, y que el responsable del tratamiento correspondiente ha aprobado la contratación del Proveedor como subencargado del tratamiento. El Cliente sigue siendo responsable frente al Proveedor de todas las obligaciones derivadas de este DPA.

Este DPA comprende exclusivamente el servicio gestionado operado por el Proveedor. La operación del software en una infraestructura que un operador autoalojado controla de forma independiente no convierte por sí sola al Proveedor en encargado del tratamiento; los datos personales de los clientes no se transmiten al Proveedor solo por el hecho de que se instale o actualice el software. El operador independiente determina su propia infraestructura, sus proveedores de servicios y los fines y medios del tratamiento, y es responsable de sus propios contratos de encargado del tratamiento y de las garantías para las transferencias. Para el soporte, una operación gestionada, servicios Enterprise u otras actividades por las que el Proveedor reciba efectivamente datos personales se requiere el acuerdo aplicable por separado.

3. Naturaleza y finalidad del tratamiento

El Proveedor trata datos personales exclusivamente con la finalidad de prestar los servicios contractuales conforme al Contrato principal. El tratamiento comprende:

• el servicio central del CRM: crear, almacenar, mostrar, buscar, vincular, exportar y suprimir los registros del CRM del Cliente, en particular contactos, organizaciones, deals, servicios, tareas, notas y campos personalizados; la gestión de usuarios y permisos; el registro de actividad y de auditoría; las notificaciones del producto; y la entrega de webhooks a los endpoints configurados por el Cliente;
• cuando esté activada, la función de cuentas conectadas: conectar las propias cuentas de correo electrónico, mensajería, redes sociales y calendario del Cliente; obtener, enviar, sincronizar y mostrar mensajes, contactos y eventos de calendario; obtener y mostrar publicaciones en redes sociales, comentarios, reacciones y perfiles de personas y empresas; listar, enviar, aceptar, retirar o rechazar solicitudes de conexión; realizar búsquedas de leads y empresas en Sales Navigator; mostrar listas de leads o de cuentas existentes y añadirles entradas; y almacenar una copia de los contenidos sincronizados, en la medida descrita en la política de privacidad;
• cuando un usuario invoque Mate de forma interactiva, incluida la configuración del espacio de trabajo guiada por IA y una importación de sitio web a la base de conocimientos: almacenar la conversación con Mate, componer la entrada solicitada y la conversación reciente, obtener mediante herramientas el contexto autorizado del CRM o de cuentas conectadas, obtener las páginas públicas de un sitio web indicado por el usuario y leer una hoja de cálculo cargada por el usuario, enviar el contexto de solicitud necesario a través de Vercel AI Gateway al modelo o al proveedor de búsqueda web seleccionado, designados en Subencargados, recibir y almacenar los resultados generados, mostrar las acciones propuestas, hacer cumplir los permisos existentes, realizar operaciones autorizadas del CRM o de cuentas conectadas cuando lo exija la política del producto, esperar una confirmación separada, así como registrar las ejecuciones, las rondas del modelo, las aprobaciones, los comprobantes y resultados de herramientas y los resultados de comandos de la interfaz;
• la búsqueda en la base de conocimientos y en la aplicación, mientras el espacio de trabajo disponga de créditos de IA utilizables: enviar los textos de las páginas nuevas y modificadas de la base de conocimientos, los nombres de listas, campos y vistas guardadas y las consultas de búsqueda, a través de Vercel AI Gateway, a los proveedores designados en Subencargados, para generar resúmenes de página y vectores de búsqueda y ordenar los resultados, así como almacenar los resúmenes y vectores junto con su página; y
• en la medida en que el servicio gestionado ofrezca Rutinas u otras ejecuciones guardadas o automatizadas de Mate: almacenar la instrucción guardada, el usuario asignado, el desencadenante, los límites y el estado de protección y de ejecución; el análisis opcional de una instrucción guardada activada por eventos, a través de la cadena de proveedores de modelos, para detectar posibles bucles de desencadenantes antes de la ejecución; el inicio manual, programado o desencadenado por un evento configurado dentro del producto de una conversación ordinaria con Mate, incluido un evento derivado de la actividad del CRM o de la sincronización de cuentas conectadas; la inclusión del nombre del evento y del identificador del registro correspondiente en la instrucción inicial; la obtención de contexto autorizado mediante herramientas; la aplicación de los permisos vigentes del usuario asignado y de los controles de confirmación aplicables; la realización de operaciones permitidas, incluidas acciones que pueden efectuarse sin confirmación separada en cada caso; así como el registro de la conversación, la ejecución, las rondas del modelo, la actividad de herramientas, los resultados y la información de estado resultantes.

La función de cuentas conectadas la presta el proveedor de transporte UNIPILE SAS, que interviene como subencargado del tratamiento con sujeción a la cláusula 9. La autenticación se realiza en un flujo alojado por Unipile en el que el usuario del Cliente introduce las credenciales del proveedor de la cuenta correspondiente o completa su flujo OAuth. Esas credenciales o la autorización OAuth se tratan dentro de ese flujo; el Proveedor no recibe contraseñas de los proveedores de cuentas ni tokens OAuth y conserva únicamente un identificador de cuenta opaco y metadatos de cuenta no secretos.

4. Categorías de interesados y de datos personales

Categorías de interesados. El tratamiento afecta a los propios usuarios del Cliente, a todas las personas físicas cuyos datos personales el Cliente almacena en el CRM, por ejemplo contactos, leads, interesados, clientes, proveedores, socios y sus empleados, a los interlocutores con los que el Cliente se comunica, y a otras personas devueltas o afectadas por operaciones de cuentas conectadas, entre ellas autores de publicaciones y comentarios, personas que reaccionan, personas cuyos perfiles se consultan, partes de solicitudes de conexión, leads de Sales Navigator y representantes de empresas.

Categorías de datos personales. Según cómo el Cliente configure y utilice el servicio, el tratamiento puede comprender lo siguiente:

• datos de registros del CRM, incluidos nombres, datos de contacto, empresa y cargo, datos de deals y tareas, notas de texto libre y campos personalizados definidos por el Cliente;
• registros de auditoría y de actividad sobre las acciones realizadas en la cuenta del Cliente;
• entradas e instrucciones guardadas de Mate, textos de conversaciones recientes, resultados generados, definiciones de herramientas, entradas y resultados de herramientas, estado de aprobación y de confirmación, resultados de comandos de la interfaz, registros de las rondas del modelo, usuarios asignados y configuraciones de desencadenantes de Rutinas, programaciones, nombres de eventos e identificadores de registros relacionados, límites, estado de protección y de ejecución, constataciones sobre riesgos de bucle, identificadores de modelo y de proveedor, marcas de tiempo, así como los identificadores de empresa y de usuario necesarios para asignar estos registros al Cliente;
• contenidos de la cuenta del Cliente que este adjunte a una solicitud de soporte o de comentarios, o reproduzca en ella;
• metadatos de cuentas conectadas (por ejemplo, identificador, tipo y estado de la cuenta conectada);
• contenidos de correo electrónico, incluidos asunto, texto, direcciones de remitente y destinatario y archivos adjuntos;
• contenidos de chats y mensajes directos a través de los canales sociales y de mensajería conectados;
• datos de perfil de contactos y participantes, incluidos nombre, avatar, titular o actividad de LinkedIn, URL del perfil y la dirección de correo electrónico, el número de teléfono o el identificador de usuario utilizados como identificador;
• publicaciones en redes sociales y datos de interacción, incluidos el texto de la publicación o del comentario, autores, personas que reaccionan, marcas de tiempo, tipos de reacción y recuentos;
• perfiles de personas y empresas y datos de relaciones, incluidos identificadores del proveedor, nombres, URL e imágenes de perfil, descripciones, empleo, ubicación, sector, distancia en la red, estado de conexión y textos de solicitudes;
• entradas, resultados y datos de listas de Sales Navigator, incluidas URL y filtros de búsqueda, perfiles de leads y empresas, nombres y pertenencia de listas y estado de guardado;
• eventos de calendario, incluidas las direcciones de correo electrónico de los participantes y el estado de aceptación o rechazo;
• metadatos de mensajes y de cuentas; y
• las cargas útiles (payloads) entrantes sin procesar recibidas de los proveedores subyacentes.

Los datos binarios de los archivos adjuntos se transmiten en flujo o se reenvían cuando es necesario y el Proveedor no los almacena; solo se almacenan los metadatos de los archivos adjuntos. Dado que los contenidos de mensajes, contactos, calendarios, redes sociales, relaciones y búsquedas los determinan el Cliente, sus interlocutores y las plataformas subyacentes, pueden incluir otras categorías de datos personales, entre ellas categorías especiales de datos personales conforme al art. 9 del RGPD, en la medida en que el Cliente determine tales contenidos. Como responsable del tratamiento, el Cliente es responsable de la licitud de los contenidos y operaciones que inicie a través del servicio.

Si el Cliente indica a Mate que trate datos personales, debe limitar los datos y los accesos a lo necesario para la tarea solicitada y garantizar una base jurídica aplicable, la limitación de la finalidad, la transparencia, la minimización de datos y garantías adecuadas al riesgo. Antes de indicar a Mate que trate categorías especiales de datos personales conforme al art. 9 del RGPD, datos relativos a condenas e infracciones penales conforme al art. 10 del RGPD, información de cuentas financieras o identificadores emitidos por autoridades públicas, el Cliente debe cumplir todos los requisitos legales adicionales aplicables a esos datos. Los registros separados de derechos de uso, medición del consumo, uso, costes, créditos, facturación, seguridad y diagnóstico que el Proveedor trata como responsable independiente quedan fuera de este DPA conforme a la cláusula 1 y a la política de privacidad. Estos registros separados contienen identificadores, recuentos de modelos y de tokens, costes, créditos, estado del plan y de la facturación, marcas de tiempo y estado de seguridad o de diagnóstico, pero no almacenan por sí mismos entradas, conversaciones, resultados generados, entradas de herramientas ni resultados de herramientas.

5. Instrucciones del responsable del tratamiento

El Proveedor trata los datos personales comprendidos en este DPA únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que esté obligado a otro tratamiento en virtud del Derecho de la Unión o del Derecho de un Estado miembro al que esté sujeto el Proveedor; en tal caso, el Proveedor informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho prohíba tal información por razones importantes de interés público.

Las instrucciones documentadas del Cliente resultan de este DPA, del Contrato principal y del uso y la configuración del servicio por parte del Cliente (incluidas las cuentas que conecte y las acciones iniciadas a través del producto). En la medida en que se ofrezcan Rutinas, la configuración y activación de la instrucción guardada, incluidos el usuario asignado, el desencadenante, los límites y los permisos asociados, se consideran una instrucción permanente documentada para cada ejecución resultante, hasta que la Rutina se desactive o se modifique de forma sustancial. Las instrucciones adicionales o modificadas requieren forma de texto.

El Proveedor informará sin demora al Cliente si, en su opinión, una instrucción infringe el RGPD u otras disposiciones aplicables de protección de datos.

6. Obligaciones y derechos del responsable del tratamiento

El Cliente es responsable de la licitud del tratamiento y de las instrucciones que imparta. En particular, el Cliente es responsable de que exista una base jurídica para los datos personales que cargue, importe o introduzca en el servicio, de la limitación de la finalidad, la transparencia, la minimización de datos, las restricciones de acceso y las garantías adecuadas al riesgo, del cumplimiento de sus obligaciones de información frente a los interesados, del cumplimiento de los requisitos adicionales para las categorías especiales de datos personales conforme al art. 9 del RGPD y para los datos relativos a condenas e infracciones penales conforme al art. 10 del RGPD, así como de la exactitud de los datos personales tratados a través del servicio. Antes de activar o modificar de forma sustancial una Rutina, el Cliente debe revisar la instrucción, el usuario asignado, el desencadenante, el alcance de los datos, los permisos, los límites, los posibles efectos secundarios y las garantías, y supervisar el funcionamiento y los resultados.

El Cliente está facultado para impartir al Proveedor instrucciones sobre el tratamiento de datos personales por su cuenta, para solicitar información sobre dicho tratamiento y para ejercer los derechos de control regulados en este DPA.

7. Confidencialidad

El Proveedor garantiza que las personas autorizadas a tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada, y que tratan los datos personales únicamente siguiendo instrucciones del Cliente.

8. Seguridad del tratamiento (art. 32 RGPD)

Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas, el Proveedor aplica medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde con el riesgo, de conformidad con el art. 32 del RGPD. Estas medidas comprenden, en particular: el cifrado de los datos personales en tránsito mediante TLS y el cifrado en reposo de la base de datos de producción y de sus copias de seguridad; el control de acceso basado en roles, cuentas de usuario personalizadas y autenticación para todos los accesos administrativos; la separación de los datos de los clientes por cuenta de empresa a nivel de datos; el registro y la supervisión de los accesos y de los eventos relevantes para la seguridad; medidas para restablecer con rapidez la disponibilidad de los datos personales y el acceso a ellos tras un incidente físico o técnico; así como un procedimiento para verificar y evaluar periódicamente la eficacia de estas medidas.

9. Subencargados del tratamiento

El Cliente otorga al Proveedor una autorización general por escrito para contratar subencargados del tratamiento. El Proveedor mantiene en Subencargados una página actualizada de sus encargados del tratamiento, subencargados del tratamiento y otros destinatarios. Solo las entradas que allí se designen expresamente como encargadas de datos personales de clientes por cuenta del Cliente pasan a formar parte de este DPA, por remisión, como subencargados del tratamiento, incluidas su identidad, su finalidad y su ubicación.

Antes de que un subencargado del tratamiento trate datos personales por cuenta del Cliente, el Proveedor celebra con él un contrato por escrito que le impone, conforme al art. 28, apartados 2 y 4, del RGPD, las mismas obligaciones de protección de datos que las establecidas en este DPA. La divulgación de una laguna contractual no sustituye a este contrato por escrito ni permite el tratamiento. Si un subencargado del tratamiento incumple sus obligaciones de protección de datos, el Proveedor sigue siendo plenamente responsable frente al Cliente del cumplimiento de esas obligaciones.

Para la función de cuentas conectadas, el Proveedor contrata a UNIPILE SAS (RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, Francia) como subencargado del tratamiento para datos de correo electrónico, mensajería, redes sociales y calendario y las operaciones correspondientes. Esto comprende la obtención de publicaciones e interacciones, la consulta de perfiles de personas y empresas, la gestión de solicitudes de conexión y las búsquedas y operaciones de listas de Sales Navigator iniciadas por el Cliente. El contrato de encargado del tratamiento firmado con el proveedor designa al Proveedor como responsable del tratamiento y a Unipile como encargado del tratamiento; en el tratamiento posterior regulado por este DPA, el Cliente es el responsable del tratamiento, el Proveedor es el encargado del tratamiento y Unipile asume el papel de proveedor aquí descrito. El anexo del contrato con el proveedor menciona datos maestros personales, datos de contacto, datos profesionales, información divulgada o contenida en directorios públicos y direcciones IP; el alcance real comprende además las categorías enumeradas en la cláusula 4. Se ofrecen más detalles en Subencargados.

Para el almacenamiento de los datos personales tratados por cuenta del Cliente, el Proveedor contrata a Databricks, Inc. (Neon) (https://neon.com) como subencargado del tratamiento contractual, que opera la base de datos PostgreSQL gestionada a través de Neon, LLC. El Proveedor ha configurado su base de datos de producción principal en la región AWS de Fráncfort (eu-central-1). Se trata de un ajuste de producto elegido y no de una garantía contractual de residencia de datos; el Proveedor informará al Cliente de un cambio de región conforme al procedimiento regulado en este apartado. El Neon Platform Services Product Specific Schedule, con fecha del 5 de agosto de 2026, completa la lista actual y completa de subencargados de Databricks con Grafana Labs en los Estados Unidos. La lista designa a algunos proveedores de nube y de IA como seleccionados por el cliente; el Proveedor no ha seleccionado ningún servicio de Databricks basado en IA para su base de datos Neon. Databricks tiene su sede en un tercer país; el mecanismo de transferencia para las transferencias restringidas a Databricks se indica en Subencargados.

Forward Email, LLC aloja y almacena el buzón operativo definitivo del Proveedor y no se utiliza ni para la función de cuentas conectadas ni para el tratamiento ordinario del CRM. Si el Cliente adjunta a una solicitud de soporte o de comentarios, o reproduce en ella, datos personales de clientes comprendidos en este DPA y la solicitud se entrega a ese buzón, Forward Email almacena y trata ese extracto como subencargado del tratamiento. En la correspondencia ordinaria de cuenta y de negocio, el servicio sirve a un tratamiento del que el Proveedor es responsable independiente y que no está sujeto a este DPA. El contrato de encargado del tratamiento estándar de Forward Email se acepta por vía electrónica a través de sus condiciones de uso e incorpora las cláusulas contractuales tipo de la UE para las transferencias pertinentes; los detalles se indican en Subencargados.

Para Mate, el Proveedor utiliza el Vercel AI Gateway, operado por Vercel Inc., para reenviar las solicitudes de modelo, de búsqueda web y de clasificador, y las respuestas correspondientes, a los proveedores posteriores designados en Subencargados. El gateway y el proveedor posterior reciben únicamente los contenidos de solicitud y los metadatos necesarios para la generación solicitada; esto puede incluir las categorías de responsabilidad del Cliente enumeradas en la cláusula 4. La identidad, la finalidad, las condiciones del proveedor, las ubicaciones, los datos sobre transferencias, los límites de conservación y los límites operativos actuales se indican en Subencargados. El uso interactivo de Mate por parte del Cliente, incluida la configuración del espacio de trabajo guiada por IA y las importaciones de sitios web, su uso de la búsqueda en la base de conocimientos o, en la medida en que se ofrezca, su configuración y activación de una Rutina constituyen, para cada solicitud, actualización de índice, análisis de seguridad y ejecución resultante, una instrucción de utilizar esta cadena de proveedores. Esta instrucción no sustituye la obligación del Proveedor de garantizar, antes de cada tratamiento, que todo contrato exigido conforme al art. 28 del RGPD y toda garantía de transferencia exigida conforme al capítulo V sean eficaces.

Si el Proveedor decide por sí mismo contratar o sustituir a un subencargado del tratamiento, informará al Cliente antes de que dicho subencargado trate datos personales por cuenta del Cliente y le concederá una oportunidad razonable de oponerse antes de que comience el tratamiento. Si un proveedor ya contratado anuncia una incorporación o sustitución prevista en su propia cadena de suministro, el Proveedor informará al Cliente sin demora tras recibir esa comunicación. Si la comunicación del proveedor prevé un plazo de objeción, el Proveedor indicará al Cliente en su notificación el plazo restante. El Cliente puede oponerse al cambio sin demora y en forma de texto por motivos legítimos de protección de datos. Si el Cliente se opone y las partes no pueden resolver la objeción, el Cliente puede resolver el servicio afectado conforme al Contrato principal. Para los cambios procedentes de la cadena de suministro, el Proveedor no promete ningún plazo previo fijo que sus contratos con proveedores no garanticen.

10. Asistencia al responsable del tratamiento

Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asiste al Cliente, siempre que sea posible, con medidas técnicas y organizativas adecuadas, para que el Cliente pueda cumplir su obligación de responder a las solicitudes de los interesados que ejerzan sus derechos conforme a los arts. 12 a 23 del RGPD. Si un interesado dirige una solicitud de este tipo directamente al Proveedor, este la remite sin demora al Cliente y no la responde por sí mismo, salvo que el Cliente se lo indique.

El Proveedor también asiste al Cliente en el cumplimiento de las obligaciones establecidas en los arts. 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Proveedor. En particular, el Proveedor notifica al Cliente sin demora, una vez que haya tenido conocimiento de ella, toda violación de la seguridad de los datos personales que afecte a los datos personales tratados por cuenta del Cliente, y facilita la información que el Cliente necesite razonablemente para cumplir sus propias obligaciones de notificación y comunicación conforme a los arts. 33 y 34 del RGPD.

11. Supresión o devolución de los datos

Si el Cliente desconecta una cuenta conectada, el Proveedor suprime de sus propios sistemas los hilos, mensajes, participantes y datos de calendario almacenados de esa cuenta y solicita a Unipile que elimine la cuenta correspondiente. El Proveedor no tiene frente a Unipile ningún derecho contractual a la supresión de una cuenta individual; solo puede formular esa solicitud. Si, en cambio, una cuenta conectada se elimina automáticamente, en particular por un pago fallido, al vencer un periodo de prueba o tras una inactividad prolongada, los datos almacenados en los sistemas del Proveedor actualmente solo se desactivan y se marcan como suprimidos; el Cliente puede solicitar su supresión en cualquier momento. Los datos de entrada sin procesar que no se hayan podido asignar a ninguna cuenta conectada no pueden actualmente asignarse a ningún cliente para su exportación o supresión y se conservan sin plazo fijo para el análisis de errores.

Archivar una conversación con Mate no la suprime. Si un usuario autorizado suprime de forma definitiva una conversación archivada, el Proveedor suprime de su base de datos activa esa conversación y sus mensajes, solicitudes de ejecución, registros de las rondas del modelo, aprobaciones, comprobantes y resultados de herramientas y resultados de comandos de la interfaz. Los registros separados de uso y facturación que el Proveedor trata como responsable independiente quedan fuera de este DPA y pueden conservarse para la medición del consumo, la contabilidad, la auditoría y la prevención de abusos; los registros del CRM creados o modificados por Mate siguen siendo registros ordinarios del Cliente hasta que se supriman conforme a las normas aplicables a esos registros. Las conversaciones activas con Mate no tienen, durante el contrato, ninguna supresión automática en función de la antigüedad. Una escalada expresa a soporte puede reproducir textos de conversaciones recientes en la correspondencia de soporte del Proveedor.

En la medida en que se ofrezcan Rutinas, suprimir una Rutina guardada no suprime automáticamente las conversaciones con Mate generadas por sus ejecuciones. Estas conversaciones están sujetas al párrafo anterior y deben suprimirse por separado mediante los controles ordinarios de supresión de Mate.

El Proveedor conserva durante 30 días, tras la finalización de los servicios vinculados al tratamiento, los datos personales disponibles en sus propios sistemas y atribuibles al Cliente, para que este pueda elegir en forma de texto entre la supresión y la devolución. Si el Cliente elige la supresión o no comunica ninguna elección dentro de ese plazo, el Proveedor suprime los datos de sus propios sistemas sin demora tras la elección o el vencimiento del plazo. Si el Cliente elige la devolución dentro de ese plazo, el Proveedor devuelve los datos conforme al Contrato principal y suprime a continuación las copias restantes en sus propios sistemas. Se mantiene sin cambios cualquier conservación adicional exigida por el Derecho de la Unión o del Derecho de un Estado miembro. Las limitaciones relativas a los datos en poder de subencargados del tratamiento y a los datos de entrada sin procesar no asignados se indican en esta cláusula y en Subencargados.

Toda supresión exigida conforme a esta cláusula se completa sin demora en los sistemas activos del Proveedor y, en sus copias de seguridad, a más tardar en un plazo de 90 días, según el ciclo de caducidad de estas. El Proveedor indica a sus subencargados del tratamiento que supriman los datos correspondientes; la supresión a nivel de los subencargados se rige por las disposiciones del contrato respectivo con ese subencargado del tratamiento.

12. Controles y acreditación del cumplimiento

El Proveedor pone a disposición del Cliente toda la información que sea razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD y en este DPA; permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor encargado por el Cliente.

Para atender estas solicitudes, el Proveedor puede facilitar, en primer lugar, la documentación pertinente, resúmenes de sus medidas técnicas y organizativas y los informes de auditoría o certificaciones de terceros disponibles (incluidos los de sus subencargados del tratamiento). Las inspecciones in situ se realizan con un preaviso razonable, durante el horario laboral habitual, sin perturbar la actividad del Proveedor y con sujeción a compromisos de confidencialidad adecuados.

13. Transferencias internacionales de datos

El Proveedor trata los datos personales por cuenta del Cliente principalmente dentro de la Unión Europea. Antes de que un subencargado del tratamiento trate esos datos en un tercer país, el Proveedor garantiza que exista un mecanismo de transferencia aplicable conforme al capítulo V del RGPD y lo designa en Subencargados. El cifrado, la minimización de datos y otras medidas técnicas complementarias no sustituyen ningún mecanismo de transferencia exigido conforme al capítulo V del RGPD.

Para la función de cuentas conectadas, Unipile indica que los datos de las cuentas conectadas se almacenan en la UE (Francia). No obstante, el contrato de encargado del tratamiento de Unipile permite transferencias fuera de la Unión Europea siempre que existan garantías conforme al capítulo V del RGPD, y la lista de subencargados de Unipile menciona a un proveedor de servicios de pago en los EE. UU. y a cinco proveedores de proxy sin indicación de su ubicación. El contrato con el proveedor no designa ningún mecanismo de transferencia concreto para esos proveedores; por tanto, para cada transferencia afectada rige la exigencia del párrafo anterior de que exista previamente un mecanismo aplicable conforme al capítulo V.

Para Mate, las solicitudes de modelo se reenvían a través del Vercel AI Gateway al proveedor de modelos posterior seleccionado, designado en Subencargados, y pueden tratarse en los Estados Unidos u otros países utilizados por el gateway, por ese proveedor y por sus subencargados. El addendum de tratamiento de datos de Vercel incorpora las cláusulas contractuales tipo de la UE de 2021 para las transferencias restringidas que dicho addendum comprende. Los Notices and License Information actuales de Vercel hacen aplicables a la ruta las condiciones designadas para ese proveedor. Antes de que se traten datos personales de responsabilidad del Cliente a través de esta ruta, el Proveedor debe garantizar que se apliquen las garantías exigidas conforme al art. 28 y al capítulo V del RGPD. El destinatario actual, las condiciones del proveedor, los datos sobre transferencias y los controles de conservación a nivel de gateway se indican en Subencargados; estos controles ni modifican la conservación a nivel de aplicación descrita en la cláusula 11 ni sustituyen las garantías contractuales y de transferencia exigidas.

14. Responsabilidad

Cada parte responde conforme a las disposiciones legales, en particular conforme al art. 82 del RGPD sobre el reparto de la responsabilidad entre responsable y encargado del tratamiento. En la relación entre las partes, las reglas de responsabilidad del Contrato principal se aplican a este DPA. Se mantiene sin cambios la responsabilidad legal imperativa, en particular por dolo y negligencia grave, por lesión de la vida, la integridad física o la salud, así como cualquier otra responsabilidad que no pueda excluirse ni limitarse conforme al Derecho aplicable.

15. Orden de prelación

En caso de contradicción entre este DPA y el Contrato principal respecto del tratamiento de datos personales por cuenta del Cliente, prevalece este DPA. En caso de contradicción entre este DPA y la normativa imperativa de protección de datos, prevalece esta normativa imperativa.

Si las partes han celebrado individualmente un contrato de encargado del tratamiento firmado, este prevalece sobre este DPA para el Cliente de que se trate.

16. Disposiciones finales

Este DPA se rige por el Derecho de la República Federal de Alemania, con exclusión de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías (CISG). El fuero competente es el domicilio del Proveedor, en la medida en que la ley lo permita. La aceptación electrónica conforme a la cláusula 2 cumple la forma de texto para la versión designada del DPA; las demás modificaciones y adiciones de este DPA requieren forma de texto. Si una disposición de este DPA es o llega a ser inválida, la validez de las demás disposiciones no se verá afectada.

Este DPA está disponible en alemán y en inglés. Prevalece la versión alemana; la versión en inglés es una traducción con fines informativos.

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
mail@customermates.com

Última actualización: 01.09.2026