Versión de 30 de septiembre de 2026.
El presente Acuerdo de encargado del tratamiento (en adelante el „DPA") complementa las Condiciones Generales de Uso y Venta de Scanlead (las „Condiciones") y se aplica de pleno derecho cuando el Usuario (el „Cliente") utiliza el Servicio para tratar datos personales relativos a terceros (por ejemplo, visitantes de ferias profesionales cuyos datos de contacto captura).
En caso de contradicción entre el presente DPA y las Condiciones en materia de tratamiento de datos personales, prevalecerá el DPA.
El presente DPA tiene por objeto aplicar los requisitos del artículo 28 del Reglamento General de Protección de Datos 2016/679 („RGPD").
El Encargado trata datos personales por cuenta del Cliente con la única finalidad de prestar el Servicio Scanlead, según se define en las Condiciones.
El presente DPA surtirá efecto en la fecha de aceptación de las Condiciones por parte del Cliente y permanecerá en vigor durante toda la duración del Abono, aumentada de los periodos de devolución y supresión previstos en el artículo 11.
Recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, comunicación por transmisión, limitación, supresión, copia de seguridad.
Permitir al Cliente capturar, almacenar, organizar, exportar y sincronizar hacia sus herramientas de terceros (CRM, hojas de cálculo) datos de contacto facilitados por personas físicas encontradas en ferias profesionales.
No se trata ninguna categoría especial de datos en el sentido del artículo 9 del RGPD. El Cliente se compromete a no introducir tales categorías en el Servicio.
De conformidad con el artículo 28, apartado 3 del RGPD, el Encargado se compromete a:
Tratar los datos personales únicamente conforme a instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias a terceros países. Las Condiciones, los ajustes de la cuenta, el uso de la interfaz y las solicitudes formales dirigidas a support@scanlead.io constituyen instrucciones documentadas. Si una instrucción constituye, a juicio del Encargado, una infracción del RGPD u otras disposiciones de la Unión o de un Estado miembro, informará de inmediato al Cliente.
Velar por que las personas autorizadas a tratar los datos estén sujetas a una obligación de confidencialidad (contractual o legal) y reciban la formación necesaria.
Aplicar las medidas técnicas y organizativas descritas en el Anexo II, de conformidad con el artículo 32 del RGPD.
Recurrir a subencargados únicamente en las condiciones del artículo 5 del presente DPA.
Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas, en:
Notificar al Cliente cualquier violación de datos personales sin dilación indebida y, a más tardar, en el plazo de 72 horas desde su conocimiento, facilitando toda la información útil para permitir al Cliente cumplir, en su caso, sus propias obligaciones de notificación a las autoridades de control y a los interesados.
Al finalizar la prestación, devolver o suprimir los datos conforme al artículo 11 del presente DPA.
Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitir la realización de auditorías en las condiciones del artículo 8 del presente DPA.
El Cliente autoriza al Encargado a recurrir a los subencargados enumerados en el Anexo I.
Toda modificación sustancial de la lista (adición o sustitución) se notificará al Cliente con al menos 30 días de antelación a su implementación. El Cliente dispondrá de un plazo de 30 días para oponerse por motivo legítimo y razonable. En caso de oposición, el Encargado podrá proponer una alternativa; en su defecto, el Cliente podrá cancelar su Abono.
El Encargado celebrará con cada subencargado un contrato escrito que le impondrá obligaciones de protección de datos equivalentes a las del presente DPA. El Encargado seguirá siendo plenamente responsable del cumplimiento por parte del subencargado de sus obligaciones.
El Encargado pondrá a disposición del Cliente funcionalidades que permitan responder a las solicitudes de los interesados: acceso, rectificación, supresión, portabilidad, limitación, oposición, y permitirá en particular la exportación o supresión de un Lead desde la interfaz.
Cuando un interesado se dirija directamente al Encargado, este trasladará la solicitud al Cliente sin dilación indebida y no responderá por sí mismo salvo instrucción contraria.
La aplicación está alojada por Replit y la base de datos principal (cuentas, ferias, Leads) por Neon, base de datos Postgres gestionada por Replit; la región de sus servidores se indica previa solicitud a support@scanlead.io. La autenticación de las cuentas y las copias de seguridad diarias de la base de datos se alojan en Supabase, en la Unión Europea, en París (Francia).
El Encargado tiene su sede en Estados Unidos. Los datos tratados por el propio Encargado (a efectos de soporte o administración) y por determinados subencargados (Replit, Neon, Stripe, Resend, PostHog) son objeto de transferencias enmarcadas en las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea en su Decisión 2021/914 de 4 de junio de 2021, Módulo 2 (de responsable a encargado) o Módulo 3 (de encargado a encargado) según la configuración, incorporadas por referencia al presente DPA.
Se consideran elegidas las siguientes opciones de las CCT:
Un análisis de impacto de la transferencia (Transfer Impact Assessment) está disponible a petición en support@scanlead.io.
El Cliente podrá, una vez por periodo de doce meses, a sus expensas y con preaviso razonable de al menos 30 días, realizar o hacer realizar por un tercero independiente sujeto a confidencialidad una auditoría destinada a verificar el cumplimiento por el Encargado de las obligaciones del presente DPA.
El Encargado podrá satisfacer su obligación facilitando los informes de auditoría o certificaciones reconocidas (SOC 2, ISO 27001) obtenidos respecto de sus propios subencargados o de su propio sistema de información.
En caso de auditoría in situ, esta no podrá perturbar las operaciones del Encargado. Las modalidades concretas (alcance, calendario, auditor) se acordarán previamente entre las Partes. Las autoridades de control competentes dispondrán de un derecho de acceso directo dentro de los límites del RGPD.
La responsabilidad del Encargado en virtud del presente DPA se rige por las disposiciones del artículo 10 de las Condiciones, sin que las limitaciones allí previstas obstaculicen la responsabilidad solidaria prevista en el artículo 82 del RGPD frente a los interesados.
El presente DPA permanecerá en vigor mientras el Encargado trate datos personales por cuenta del Cliente. Terminará automáticamente al finalizar la relación contractual, sin perjuicio de las obligaciones de devolución y supresión.
Al finalizar la prestación, esto es, el cierre de la cuenta del Cliente, el Encargado:
Toda notificación en virtud del presente DPA se dirigirá a support@scanlead.io para el Encargado y a la dirección de correo electrónico asociada a la cuenta para el Cliente.
Las estipulaciones de las Condiciones relativas a la ley aplicable y a la jurisdicción se aplican al presente DPA. Las Cláusulas Contractuales Tipo conservan su propio régimen.
| Subencargado | Función | Ubicación | Datos tratados |
|---|---|---|---|
| Replit, Inc. | Alojamiento de la aplicación | Región indicada previa solicitud | Todas las categorías enumeradas en el artículo 3 |
| Neon (base de datos Postgres gestionada por Replit) | Base de datos principal | Región indicada previa solicitud | Todas las categorías enumeradas en el artículo 3 |
| Supabase Inc. | Autenticación de las cuentas, almacenamiento de las copias de seguridad diarias de la base de datos | París, Francia (UE) | Todas las categorías enumeradas en el artículo 3 (en las copias de seguridad) |
| Cloudflare Inc. | CDN, WAF, protección DDoS | Red global, terminación UE para tráfico UE | Metadatos de solicitud, direcciones IP |
| Stripe, Inc. | Procesamiento de pagos | Estados Unidos | Ningún dato de Lead (solo datos de facturación del Cliente) |
| Resend | Envío de correos transaccionales | Estados Unidos | Ningún dato de Lead (solo correos de administración) |
| PostHog Inc. | Analítica de producto | Estados Unidos | Ningún dato de Lead (solo eventos de uso del Cliente) |