Acuerdo de tratamiento de datos

Actualizado el 10-06-2025

Índice

Introducción
Documentos de acuerdos
Tratamiento de datos personales
Medidas de seguridad
Transferencia fuera de la UE/EEE
Uso de subencargados
Obligaciones del encargado del tratamiento
Violación de datos personales
Confidencialidad
Remuneración
Responsabilidad
Plazo y terminación
Devolución y destrucción de datos personales
Legislación aplicable y resolución de conflictos

Apéndices

Apéndice I – Lista de las partes y descripción del tratamiento
Apéndice II – Medidas técnicas y organizativas
Apéndice III – Lista de subencargados del tratamiento

El presente acuerdo de tratamiento de datos ("ADP") forma parte del Acuerdo entre 360Player AB ("Encargado"), en calidad de encargado del tratamiento, y el cliente que es parte del Acuerdo ("Responsable"), en calidad de responsable del tratamiento. En caso de conflicto entre el presente ADP y el Acuerdo, prevalecerá el presente ADP en relación con el tratamiento de datos personales.

El Responsable y el Encargado se denominarán conjuntamente las "Partes" y cada uno de ellos como "Parte".

1 – Introducción

1.1 Para cumplir con sus obligaciones en virtud del Acuerdo, el Encargado tratará datos personales en nombre del Responsable. El presente ADP es un apéndice del Acuerdo y regula el tratamiento de datos personales de conformidad con las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos "RGPD") y cualquier legislación nacional o de la Unión Europea aplicable en cada momento ("Legislación de protección de datos aplicable").

1.2 En caso de conflicto o discrepancia entre el Acuerdo y el presente ADP en relación con el tratamiento de datos personales, prevalecerán las disposiciones del ADP.

2 – Documentos del acuerdo

2.1 Los siguientes apéndices se incorporan por referencia al presente ADP:

Apéndice I – Descripción del tratamiento
Apéndice II – Medidas técnicas y organizativas
Apéndice III – Lista de subencargados del tratamiento

3 – Tratamiento de Datos Personales

3.1 El objeto, la duración, la naturaleza y la finalidad del tratamiento se establecen en el Apéndice I (Descripción del Tratamiento).

3.2 El Responsable es responsable de garantizar que el tratamiento se lleve a cabo de acuerdo con la Legislación de Protección de Datos Aplicable y de proporcionar al Encargado instrucciones precisas y suficientes.

3.3 El Encargado se compromete a tratar los datos personales únicamente de acuerdo con las instrucciones bajo este APD, el Acuerdo y las instrucciones documentadas proporcionadas por el Responsable periódicamente, a menos que el tratamiento sea requerido por la Legislación de Protección de Datos Aplicable. En tal caso, el Encargado informará al Responsable sobre el tratamiento y los requisitos legales en los que se basa, antes de tratar los datos personales, a menos que la Legislación de Protección de Datos Aplicable prohíba proporcionar dicha información.

3.4 El Encargado informará puntualmente al Responsable si:

(i) El Encargado no pueda cumplir con sus obligaciones en virtud del APD;

(ii) El Encargado considere que las instrucciones proporcionadas por el Responsable infringen la Legislación de Protección de Datos Aplicable; o

(iii) El Encargado considere que las instrucciones proporcionadas por el Responsable son inadecuadas o incorrectas.

En tal caso, el Responsable ajustará sus instrucciones.

4 – Medidas de Seguridad

4.1 Las Partes adoptarán las medidas de seguridad técnicas y organizativas adecuadas necesarias para garantizar un nivel de seguridad apropiado a los riesgos presentados al tratar datos personales y, cuando sea necesario, implementarán y mantendrán las medidas de seguridad técnicas y organizativas establecidas en el Artículo 32 del RGPD.

4.2 Las medidas de seguridad técnicas y organizativas acordadas entre las Partes se establecen en el Apéndice II (Medidas Técnicas y Organizativas). El Responsable se asegurará de que dichas medidas cumplan con las disposiciones de la Legislación de Protección de Datos Aplicable.

5 – Transferencia fuera de la UE/EEE

5.1 El Encargado podrá, en ocasiones, transferir datos personales a un país fuera de la UE/EEE de acuerdo con las instrucciones proporcionadas por el Responsable, tal como se detalla en los apéndices de este APD, actualizados periódicamente. Si los datos personales se transfieren a un país fuera de la UE/EEE, las Partes se asegurarán de que la transferencia esté sujeta a un mecanismo de transferencia adecuado de conformidad con el Capítulo V del RGPD, por ejemplo, mediante la ejecución del módulo aplicable de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o normas corporativas vinculantes. En la medida necesaria para garantizar una protección adecuada de los datos personales, las Partes acordarán salvaguardias adicionales en el Apéndice III (Lista de Subencargados).

5.2 Where a sub-processor is certified under the EU-U.S. Data Privacy Framework, transfers to that sub-processor may rely on the European Commission's adequacy decision of 10 July 2023. Otherwise, transfers are made under the Standard Contractual Clauses.

5.3 For personal data subject to the UK GDPR, the UK Information Commissioner's International Data Transfer Addendum to the Standard Contractual Clauses (the "UK Addendum") applies to transfers outside the UK. References to the GDPR and the EU/EEA shall be read as the UK GDPR and the UK where relevant.

6 – Uso de Subencargados

6.1 El Encargado obtiene por la presente una autorización general por escrito del Responsable para utilizar subencargados para tratar datos personales en nombre del Responsable. La lista de subencargados autorizados por el Responsable para el tratamiento de datos personales en la fecha de entrada en vigor del presente APD se establece en el Apéndice III (Lista de Subencargados). El Encargado informará al Responsable por escrito sobre la incorporación o sustitución de subencargados al menos 30 días antes de que el cambio tenga lugar, con el fin de dar al Responsable la oportunidad de oponerse al mismo.

6.2 El Responsable tendrá derecho a oponerse por escrito en un plazo de 20 días desde que el Encargado le informe del cambio. El Responsable solo podrá oponerse al uso de un subencargado si existen motivos para creer que este no cumple con los requisitos de la Legislación de Protección de Datos Aplicable, debiendo exponer las razones de dicha oposición. El Encargado proporcionará al Responsable la información necesaria para que este pueda ejercer su derecho de oposición.

6.3 El Encargado se asegurará de que un acuerdo por escrito imponga a los subencargados obligaciones al menos equivalentes en relación con el tratamiento de datos personales a las impuestas al Encargado en virtud del presente APD. El Encargado será plenamente responsable ante el Responsable del cumplimiento de las obligaciones por parte del subencargado, al igual que de las suyas propias en virtud del presente APD.

7 – Obligaciones del Encargado

7.1 El Encargado, previa solicitud razonable del Responsable, asistirá al Responsable en la medida de lo razonablemente posible y teniendo en cuenta la naturaleza del tratamiento, para cumplir con sus obligaciones de responder a las solicitudes de los interesados para ejercer sus derechos conforme a la Legislación de Protección de Datos Aplicable. El Encargado notificará al Responsable en un plazo de 30 días si recibe alguna solicitud de los interesados. El Encargado no podrá responder a ninguna solicitud sin la instrucción específica y por escrito del Responsable para hacerlo.

7.2 El Encargado del tratamiento, en la medida de lo posible y teniendo en cuenta la naturaleza del procesamiento y la información disponible, asistirá al Responsable del tratamiento en el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del RGPD.

7.3 El Encargado del tratamiento, previa solicitud razonable del Responsable, proporcionará a este la información necesaria para demostrar el cumplimiento de las obligaciones del ADP.

7.4 En caso de que el Encargado del tratamiento, de acuerdo con la legislación de protección de datos aplicable, esté obligado a revelar datos personales que procesa en nombre del Responsable a las autoridades de control, el Encargado informará de ello al Responsable y solicitará confidencialidad en relación con la divulgación de la información solicitada.

7.5 Previa solicitud razonable del Responsable del tratamiento o de un auditor externo designado por este, el Encargado del tratamiento permitirá una auditoría con el fin de verificar que el procesamiento de datos personales se lleva a cabo de acuerdo con la legislación de protección de datos aplicable y este ADP. Cualquier auditor externo correrá a cargo del Responsable del tratamiento.

8 – Brecha de seguridad de datos personales

8.1 El Encargado del tratamiento notificará al Responsable del tratamiento por escrito y sin dilación indebida tras tener conocimiento de una brecha de seguridad de los datos personales procesados en nombre del Responsable. En la medida en que dicha brecha haya ocurrido en el ámbito del Encargado del tratamiento, este proporcionará al Responsable una descripción de la brecha, su naturaleza, sus posibles consecuencias e información sobre las medidas adoptadas o propuestas para subsanar y mitigar las consecuencias de la misma.

8.2 Si el Responsable del tratamiento notifica una brecha a la autoridad de control, el Encargado del tratamiento, previa solicitud razonable del Responsable, le asistirá y proporcionará la información requerida.

9 – Confidencialidad

9.1 El Encargado del tratamiento se compromete a no divulgar ni poner a disposición de terceros los datos personales procesados bajo este ADP sin el consentimiento previo por escrito del Responsable del tratamiento, a excepción de los subencargados contratados de acuerdo con este ADP.

9.2 El Encargado del tratamiento garantizará que solo el personal y otros representantes que requieran acceso a los datos personales tengan acceso a dicha información. El Encargado del tratamiento se asegurará de que dichas personas estén sujetas a compromisos de confidencialidad o a una obligación legal de secreto profesional.

9.3 El Encargado del tratamiento se compromete a garantizar que existan acuerdos de confidencialidad con cualquier subencargado contratado bajo este ADP.

10 – Remuneración

10.1 El Encargado del tratamiento tiene derecho a una remuneración razonable por los costes y el trabajo incurridos como resultado de sus obligaciones especificadas a continuación:

(i) El Responsable del tratamiento ajusta sus instrucciones conforme a la sección 3.1 anterior.

(ii) El Responsable del tratamiento ajusta sus instrucciones conforme a la sección 4.2 anterior.

(iii) El Encargado del tratamiento asiste al Responsable del tratamiento en una auditoría de acuerdo con la sección 7.5 anterior.

11 – Responsabilidad

11.1 Las Partes reconocen que cada una es responsable, rinde cuentas y asume las obligaciones correspondientes en sus respectivos roles como Responsable y Encargado del tratamiento conforme a los requisitos establecidos en el RGPD y en este ADP. Cualquier multa administrativa, tasa o sanción impuesta por la autoridad de control y/o indemnización a los interesados estará sujeta a las disposiciones de responsabilidad establecidas en los artículos 82 a 84 del RGPD. Si una Parte procesa datos personales infringiendo este ADP o la legislación de protección de datos aplicable, dicha Parte deberá indemnizar a la otra por los daños directos sufridos debido a tal procesamiento indebido y/o violación de este ADP, de acuerdo con las limitaciones de responsabilidad establecidas en el Acuerdo.

12 – Vigencia y terminación

12.1 El presente ADP entra en vigor cuando ambas Partes firman el Acuerdo y permanece vigente a partir de entonces mientras el Encargado del tratamiento procese datos personales en nombre del Responsable del tratamiento.

12.2 El encargado del tratamiento tiene derecho a rescindir el ADP de forma inmediata mediante notificación por escrito al responsable del tratamiento si las instrucciones dadas por este infringen la legislación de protección de datos aplicable y el responsable, tras ser notificado de tales circunstancias, insiste posteriormente en aplicar dichas instrucciones.

13 – Devolución y destrucción de datos personales

13.1 Tras la terminación o expiración de este ADP, el encargado del tratamiento dejará de tratar los datos personales sin demora indebida y, previa solicitud por escrito del responsable del tratamiento, eliminará todos los datos personales del responsable y borrará cualquier copia restante, a menos que la legislación de protección de datos aplicable exija lo contrario.

14 – Legislación aplicable y resolución de disputas

14.1 El ADP se regirá por la legislación sueca, excluyendo las normas aplicables sobre conflictos de leyes.

14.2 Cualquier disputa que surja de o en relación con el ADP se resolverá definitivamente de acuerdo con la disposición de resolución de disputas establecida en el Acuerdo.

Apéndice I – Descripción del tratamiento

1 Introducción

El Apéndice I (Descripción del tratamiento) describe el tratamiento de datos personales conforme al ADP.

2 Descripción del tratamiento

Para los responsables del tratamiento sujetos a legislación local de privacidad, es vital comprender qué datos tienen una clasificación especial según la ley local. Se recomienda minimizar la recopilación de datos sensibles y 360Player siempre obtendrá el consentimiento de los usuarios para los términos de usuario y la política de privacidad.

Categorías de interesados

El tratamiento incluirá las siguientes categorías de interesados:

☐ Empleados/personal del responsable del tratamiento
☐ Miembros del responsable del tratamiento y su(s) tutor(es) legal(es)

Categorías de datos personales que tratará el responsable del tratamiento

Se tratarán los siguientes datos personales:

☐ Nombre
☐ Fecha de nacimiento
☐ Correo electrónico
☐ Número de teléfono
☐ Dirección

Categorías especiales de datos personales que los responsables del tratamiento pueden procesar

Se incluirán en el tratamiento las siguientes categorías especiales de datos personales:

☐ Datos genéticos
☐ Datos biométricos
☐ Datos relativos a la salud
☐ Otros datos que el responsable del tratamiento necesite recopilar (campos de datos personalizados)

Naturaleza y finalidad del tratamiento

El encargado del tratamiento procesa datos personales para los siguientes fines:

Los datos personales serán tratados para que el responsable del tratamiento pueda utilizar el sistema de acuerdo con el propósito de la plataforma.

Duración del tratamiento

Los datos personales serán tratados de acuerdo con lo siguiente:

La duración del tratamiento corresponde a la duración del Acuerdo o hasta que el responsable del tratamiento elimine los datos. Posteriormente, los datos personales serán tratados durante el tiempo que exija la legislación aplicable en materia de protección de datos.

Anexo II – Medidas técnicas y organizativas

1 Introducción

El Anexo II (Medidas técnicas y organizativas) especifica las medidas técnicas y organizativas adoptadas para garantizar un alto nivel de seguridad en el tratamiento de datos personales.

2 Lista de medidas técnicas y organizativas

Las Partes han acordado explícitamente las siguientes medidas de seguridad:

360Player está alojado bajo el protocolo de seguridad más alto en Microsoft Azure y cuenta con autenticación de dos factores.
El tráfico dentro de la aplicación utiliza cifrado SSL (TLS 1.2).
Los miembros del personal de 360Player están sujetos a acuerdos de confidencialidad y tienen acceso restringido a los datos del responsable del tratamiento.
Los usuarios de la organización pueden estructurarse para obtener acceso limitado a los datos dentro de la plataforma.
360Player admite el inicio de sesión único (SSO) y la sincronización de directorios para el ciclo de vida y el aprovisionamiento de usuarios.
360Player y sus servicios cumplen plenamente con el RGPD y toman medidas trimestrales para auditar el cumplimiento.
Existen protocolos establecidos para denunciar el contenido generado por los usuarios.
Existen registros de auditoría a nivel de cuenta y de usuario.
Es posible supervisar los chats en los que participan menores.
SLA disponible bajo petición.

Apéndice III – Lista de subencargados

1 Introducción

El Apéndice III (Lista de subencargados) establece los subencargados del encargado aprobados por el responsable del tratamiento. SCC significa "Cláusulas Contractuales Tipo" y se refiere a la versión más reciente de las cláusulas contractuales tipo para la transferencia de datos personales a encargados establecidos en terceros países conforme al RGPD.

2 Lista de subencargados

El responsable del tratamiento ha aprobado los subencargados enumerados en la siguiente tabla a partir de la fecha de entrada en vigor del DPA. La tabla se actualiza periódicamente:

Sendgrid

Dirección: privacy@twilio.com
Ubicación del tratamiento: EE. UU.
Descripción del tratamiento: Correos electrónicos transaccionales
Categorías de datos personales: Correo electrónico, nombre
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC)

Intercom

Dirección: 124 St Stephen's Green, Dublín 2, D02 C628
Ubicación del tratamiento: Irlanda
Descripción del tratamiento: Atención al cliente
Categorías de datos personales: Correo electrónico, nombre
Mecanismo de transferencia: N/A

Duda

Dirección: privacy@duda.co
Ubicación del tratamiento: Irlanda
Descripción del tratamiento: Alojamiento web
Categorías de datos personales: N/A
Mecanismo de transferencia: N/A

Microsoft

Dirección: Attn: Data Protection, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlanda
Ubicación del tratamiento: Irlanda
Descripción del tratamiento: Almacenamiento y alojamiento en la nube
Categorías de datos personales: N/A
Mecanismo de transferencia: N/A

Microsoft (Azure AI Foundry)

Address: Attn: Data Protection, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Ireland
Location of the processing: Sweden, with failover to the Netherlands (EU)
Description of processing: AI features
Categories of personal data: Content users submit to AI features (e.g. name, text)
Transfer mechanism: N.A

WorkOS

Dirección: support@workos.com
Ubicación del tratamiento: UE, EE. UU.
Descripción del tratamiento: SSO
Categorías de datos personales: N/A
Mecanismo de transferencia: CCS

Adyen

Dirección: Simon Carmiggeltstraat 5-60, 1011 DJ Ámsterdam, Países Bajos
Ubicación del tratamiento: Global
Descripción del tratamiento: Proveedor de pagos
Categorías de datos personales: Nombre, correo electrónico, productos
Mecanismo de transferencia: CCS

Grafana

Dirección: Raintank Inc dba. Grafana Labs, 165 Broadway, 23rd Floor, New York, NY 10006, EE. UU.
Ubicación del tratamiento: Global
Descripción del tratamiento: Métricas y análisis
Categorías de datos personales: N/A
Mecanismo de transferencia: CCS

Sinch, Mailjet

Dirección: Sede central de París, 4 Rue Jules Lefebvre, 75009 París, Francia
Ubicación del tratamiento: Alemania y Bélgica
Descripción del tratamiento: Correo electrónico
Categorías de datos personales: Nombre, correo electrónico
Mecanismo de transferencia: N/A

Mixpanel

Dirección: Mixpanel Inc, One Front Street, 28th Floor, San Francisco, CA 94111
Ubicación del tratamiento: UE
Descripción del tratamiento: Métricas y análisis
Categorías de datos personales: N/A
Mecanismo de transferencia: N/A

HubSpot Inc

Dirección: Two Canal Park, Cambridge, MA 02141, EE. UU.
Ubicación del tratamiento: Global
Descripción del tratamiento: CRM
Categorías de datos personales: Nombre, correo electrónico
Mecanismo de transferencia: N/A

Stripe, Inc

Dirección: 345 Oyster Point Boulevard, CA 94080, EE. UU.
Ubicación del tratamiento: Global
Descripción del tratamiento: Proveedor de pagos
Categorías de datos personales: Nombre, correo electrónico, productos
Mecanismo de transferencia: Cláusulas contractuales tipo (SCC)

PostHog

Address: PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA
Location of the processing: Germany
Description of processing: Product analytics and session recordings
Categories of personal data: Usage data, device and browser data, IP address
Transfer mechanism: N.A