Acuerdo de Encargo del Tratamiento

El presente Acuerdo de Encargo del Tratamiento ("AET") se aplica al tratamiento de datos personales por parte de Adbrains B.V. ("Encargado del tratamiento") por cuenta del Cliente ("Responsable del tratamiento") en el marco del contrato de prestación de servicios.

Artículo 1, Definiciones

• RGPD: Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos)
• Datos personales: toda información sobre una persona física identificada o identificable
• Tratamiento: cualquier operación realizada con datos personales en el sentido del RGPD
• Violación: una violación de la seguridad de los datos personales en el sentido del art. 4, punto 12, del RGPD

Artículo 2, Finalidad y naturaleza del tratamiento

El Encargado del tratamiento trata datos personales exclusivamente para:

• La gestión y optimización de campañas de Google Ads por cuenta del Responsable del tratamiento
• La transmisión de datos de conversión a Google Ads y, en su caso, a Meta
• La elaboración de informes de campaña y análisis mediante IA
• La puesta a disposición del portal de clientes y del panel

Categorías de interesados: visitantes del sitio web y clientes del Responsable del tratamiento.

Categorías de datos personales: direcciones IP, identificadores de clic (GCLID, fbclid), direcciones de correo electrónico, datos de conversión.

Artículo 3, Obligaciones del encargado del tratamiento

El Encargado del tratamiento se compromete a:

• Tratar los datos exclusivamente conforme a las instrucciones escritas del Responsable del tratamiento
• Mantener la confidencialidad de los datos personales frente a terceros
• Aplicar medidas de seguridad técnicas y organizativas apropiadas (art. 32 RGPD)
• No recurrir a subencargados del tratamiento sin la autorización previa del Responsable del tratamiento
• Colaborar en el ejercicio de los derechos de los interesados

Artículo 4, Subencargados del tratamiento

El Responsable del tratamiento autoriza el recurso a los siguientes subencargados del tratamiento:

• Google LLC, Google Ads API, Google Analytics, Google Cloud
• Anthropic, PBC, Claude AI API (datos de campaña anonimizados)
• Proveedores de hosting, infraestructura de servidores (con sede en la UE)

El Encargado del tratamiento informará al Responsable del tratamiento de cualquier cambio en los subencargados del tratamiento. El Responsable del tratamiento tiene derecho a oponerse.

Artículo 5, Seguridad (art. 32 RGPD)

El Encargado del tratamiento implementa y mantiene medidas técnicas y organizativas apropiadas:

• Cifrado de los datos personales en reposo y en tránsito (AES-256, TLS 1.2+)
• Autenticación de dos factores para el acceso a los sistemas
• Seudonimización de los datos analíticos siempre que sea posible
• Pruebas de seguridad y revisiones de accesos periódicas
• Procedimientos de recuperación tras incidentes

Artículo 6, Violaciones de datos e incidentes

En caso de violación de la seguridad de los datos personales, el Encargado del tratamiento informará al Responsable del tratamiento lo antes posible y, a más tardar, dentro de las 72 horas siguientes a su descubrimiento. La notificación incluirá: la naturaleza de la violación, las categorías y el número de interesados afectados, las consecuencias previsibles y las medidas adoptadas.

Artículo 7, Transferencias fuera del EEE

El Encargado del tratamiento no transfiere datos personales a países fuera del EEE, salvo que sea necesario (p. ej., Google/Anthropic en EE. UU.) y se cumpla el art. 46 del RGPD mediante las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea.

Artículo 8, Derechos de los interesados

El Encargado del tratamiento colaborará con el Responsable del tratamiento en la tramitación de las solicitudes de los interesados (acceso, rectificación, supresión, etc.) dentro de un plazo que permita al Responsable del tratamiento cumplir el plazo legal de 30 días.

Artículo 9, Auditoría y control

El Encargado del tratamiento permitirá al Responsable del tratamiento realizar auditorías, o encargarlas a un tercero independiente, con un preaviso mínimo de 30 días y bajo obligación de confidencialidad.

Artículo 10, Supresión y devolución

Tras la finalización del contrato, el Encargado del tratamiento suprimirá todos los datos personales en un plazo de 90 días, salvo que sea de aplicación una obligación legal de conservación. A petición, el Encargado del tratamiento facilitará una confirmación por escrito de la supresión.

Artículo 11, Legislación aplicable

El presente acuerdo de encargo del tratamiento se rige por el derecho neerlandés. Los litigios se someterán al tribunal competente de Róterdam.