Legal

Acuerdo de Encargo del Tratamiento (DPA)

Este DPA establece cómo Air Trending trata datos personales por tu cuenta cuando presta servicios gestionados de marketing y ventas, así como las garantías que se aplican.

Última actualización: junio de 2026

Preámbulo y Partes

Este Acuerdo de Encargo del Tratamiento ("DPA") forma parte del contrato entre el cliente identificado en la propuesta o el documento de alcance de trabajo aplicable ("Cliente", "Responsable") y Sternac LLC, que opera como Air Trending ("Air Trending", "Encargado"), denominados conjuntamente las "Partes".

Este DPA recoge el acuerdo de las Partes sobre el tratamiento de Datos Personales en relación con los servicios de marketing y ventas que Air Trending presta al Cliente (los "Servicios"). Los términos en mayúscula no definidos aquí tienen el significado que se les atribuye en el contrato principal entre las Partes (el "Contrato"), incluidos los Términos del Servicio.

1. Definiciones

Legislación Aplicable en materia de Protección de Datos significa todas las leyes y normas sobre privacidad y protección de datos que se aplican al tratamiento conforme a este DPA, incluidos, según corresponda, el RGPD, el RGPD del Reino Unido (UK GDPR), la LOPDGDD, la Ley Federal suiza de Protección de Datos (FADP) y las leyes estatales de privacidad de Estados Unidos.

Datos Personales significa toda información sobre una persona física identificada o identificable que Air Trending trata por cuenta del Cliente conforme al Contrato.

Tratar y Tratamiento tienen el significado establecido en la Legislación Aplicable en materia de Protección de Datos.

Subencargado significa cualquier encargado del tratamiento contratado por Air Trending para ayudar a prestar los Servicios y que trate Datos Personales.

Autoridad de Control significa la autoridad de protección de datos competente en el EEE, el Reino Unido o Suiza, según corresponda.

2. Ámbito, función e instrucciones

Funciones. El Cliente es el Responsable, o un encargado que actúa por cuenta de un responsable, y designa a Air Trending como Encargado para tratar Datos Personales en la medida necesaria para prestar los Servicios.
Instrucciones. Air Trending trata Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente, según lo establecido en el Contrato, en este DPA, en la configuración y el uso que el Cliente haga de los Servicios, y según exija la ley. Cuando la ley lo permita, Air Trending informará al Cliente si una instrucción parece infringir la Legislación Aplicable en materia de Protección de Datos.
Responsabilidades del Cliente. El Cliente es responsable de la licitud de los Datos Personales, de facilitar todas las informaciones y obtener todos los consentimientos necesarios, incluido el consentimiento para marketing de contactos y leads, y de su propia configuración y uso de los Servicios.

3. Confidencialidad

Air Trending garantiza que el personal autorizado para tratar Datos Personales está sujeto a obligaciones de confidencialidad adecuadas y recibe orientación adecuada sobre protección de datos y seguridad.

4. Medidas de seguridad

Air Trending aplica y mantiene medidas técnicas y organizativas apropiadas destinadas a proteger los Datos Personales, tal como se describen en el Anexo II (las "Medidas de Seguridad"). El Cliente es responsable de revisar la información que Air Trending pone a su disposición y de determinar si los Servicios cumplen los requisitos del Cliente.

5. Subencargados

Autorización. El Cliente otorga a Air Trending una autorización general por escrito para contratar Subencargados que traten Datos Personales en relación con los Servicios.
Obligaciones. Air Trending celebra con cada Subencargado un contrato por escrito que le impone obligaciones de protección de datos que no ofrezcan menos protección que las de este DPA, y sigue siendo responsable del cumplimiento de cada Subencargado.
Lista y actualizaciones. Air Trending mantiene una lista actualizada de Subencargados; consulta el Anexo III y la página de Subencargados. Air Trending notificará los nuevos Subencargados, y el Cliente podrá oponerse por motivos razonables de protección de datos dentro de un plazo razonable. Si el Cliente se opone, las Partes trabajarán de buena fe para encontrar una solución. Si no se encuentra ninguna, el Cliente podrá suspender o resolver los Servicios afectados sin penalización.

6. Transferencias internacionales de datos

Cláusulas Contractuales Tipo de la UE. Las Cláusulas Contractuales Tipo de la Comisión Europea para transferencias de responsable a encargado (Módulo 2) y de encargado a encargado (Módulo 3), establecidas en la Decisión de Ejecución (UE) 2021/914 de la Comisión ("CCT"), se incorporan por referencia, con los detalles completados por el Anexo I y las Medidas de Seguridad del Anexo II. En caso de conflicto entre las CCT y este DPA, prevalecerán las CCT.
Addendum del Reino Unido. Para las transferencias sujetas a la legislación del Reino Unido, el International Data Transfer Addendum (Addendum de Transferencia Internacional de Datos) emitido por la ICO del Reino Unido se incorpora por referencia y complementa las CCT.
Adaptaciones para Suiza. Para las transferencias sujetas a la legislación suiza, las referencias al RGPD contenidas en las CCT se entenderán hechas a la FADP suiza cuando corresponda.
Adaptaciones para Suiza. Para las transferencias sujetas a la legislación suiza, las referencias al RGPD contenidas en las CCT se entenderán hechas a la FADP suiza cuando corresponda.
Garantías alternativas. Si pasa a estar disponible otro mecanismo de transferencia válido y Air Trending lo utiliza, dicho mecanismo podrá utilizarse en lugar de las CCT.

7. Solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, Air Trending asistirá al Cliente mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, para ayudarle a responder a las solicitudes de los interesados que ejerzan sus derechos. Si Air Trending recibe directamente de un interesado una solicitud relativa a Datos Personales de los que el Cliente es el Responsable, Air Trending lo notificará sin demora al Cliente y no responderá salvo siguiendo instrucciones documentadas o cuando lo exija la ley.

8. Violación de la seguridad de los datos personales

Air Trending notificará al Cliente sin dilación indebida tras tener conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales tratados conforme a este DPA, y facilitará la información razonablemente necesaria para que el Cliente cumpla sus propias obligaciones legales.

9. Auditoría y cumplimiento

A solicitud razonable del Cliente, Air Trending pondrá a su disposición la información necesaria para demostrar el cumplimiento de este DPA, y permitirá y contribuirá a la realización de auditorías por parte del Cliente o de un auditor designado por el Cliente, siempre que: (a) las auditorías no se realicen más de una vez al año, salvo que lo exija una Autoridad de Control o tras una Violación de la Seguridad de los Datos Personales confirmada; (b) las auditorías tengan lugar en horario laboral normal, con un preaviso razonable y sin interferir en las operaciones; y (c) el Cliente suscriba compromisos de confidencialidad razonables. Las evidencias podrán incluir informes independientes, certificados y resúmenes de controles.

10. Devolución y supresión

A la terminación o expiración del Contrato, y a solicitud por escrito del Cliente, Air Trending suprimirá o devolverá todos los Datos Personales tratados por cuenta del Cliente, salvo que la ley exija su conservación. Cuando la supresión no sea factible, Air Trending seguirá protegiendo los Datos Personales conforme a este DPA y limitará cualquier tratamiento posterior a lo que requiera la conservación.

11. Asistencia y EIPD

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Air Trending prestará asistencia razonable al Cliente en relación con las evaluaciones de impacto relativas a la protección de datos (EIPD) y las consultas previas a las Autoridades de Control relacionadas con el uso de los Servicios por parte del Cliente, en cada caso solo en la medida exigida por la Legislación Aplicable en materia de Protección de Datos.

12. Responsabilidad y prelación

La responsabilidad de cada Parte conforme a este DPA está sujeta a las limitaciones y exclusiones de responsabilidad del Contrato. En caso de conflicto entre este DPA y el Contrato, este DPA prevalecerá en la medida del conflicto en lo relativo al tratamiento de Datos Personales. En caso de conflicto entre este DPA y las CCT, prevalecerán las CCT.

13. Duración y terminación

Este DPA entra en vigor cuando el Cliente utiliza por primera vez los Servicios o acepta de otro modo el Contrato, y permanece vigente mientras Air Trending trate Datos Personales por cuenta del Cliente.

Cómo obtener una copia firmada

Si necesitas un DPA firmado por correo electrónico, escribe a gdpr@air-trending.com con el asunto "Solicitud de DPA, [Nombre de tu empresa]". Indica la denominación social de tu entidad, su dirección, y el nombre y cargo del firmante. Lo firmaremos y te devolveremos una copia en PDF por correo electrónico.

Anexo I: Detalles del tratamiento

A. Lista de Partes

Responsable: el Cliente identificado en el Contrato.

Encargado: Sternac LLC, que opera como Air Trending, y trata Datos Personales por cuenta del Cliente.

B. Autoridad de Control

La Autoridad de Control competente se determina conforme al artículo 56 del RGPD, o a la legislación aplicable, en función de la ubicación del Cliente en el EEE, el Reino Unido o Suiza.

C. Descripción del tratamiento

Objeto: prestación de servicios de marketing y ventas, incluidas campañas publicitarias, generación de leads, gestión de CRM y automatización en la plataforma Air Lift, trabajo en embudos y sitios web, e informes, junto con el soporte relacionado.

Naturaleza y finalidad: recogida, alojamiento, almacenamiento, organización, estructuración, transmisión, análisis y demás operaciones necesarias para prestar los Servicios y el soporte.

Duración: la vigencia del Contrato y, en su caso, lo que exija la ley.

Categorías de interesados: prospectos y leads del Cliente, clientes del Cliente, y personal autorizado por el Cliente.

Categorías de Datos Personales: datos identificativos y de contacto, como nombre, correo electrónico y teléfono, identificadores de cuenta, contenido y metadatos de las comunicaciones enviadas a través de los Servicios, datos de interacción con el marketing, como aperturas y clics, datos de agendamiento, y datos de dispositivo y de registro, como la IP y el navegador. No está previsto el tratamiento de categorías especiales de datos. El Cliente no debe facilitar dichos datos salvo que lo permitan el Contrato y la Legislación Aplicable en materia de Protección de Datos.

Frecuencia de las transferencias: continua, según sea necesario para los Servicios.

Conservación: según lo descrito en el Contrato y en la configuración del servicio, y en la Sección 10 de este DPA.

Anexo II: Medidas técnicas y organizativas

Control de acceso. Acceso a las cuentas y herramientas de los clientes basado en roles, según el principio de mínimo privilegio. El acceso a las cuentas de un cliente se limita a los miembros del equipo que prestan los Servicios a ese cliente y queda registrado.
Seguridad de credenciales y cuentas. Gestión segura de las credenciales de acceso, uso de autenticación multifactor cuando esté disponible y retirada inmediata del acceso cuando deje de ser necesario.
Cifrado. Cifrado en tránsito (TLS) para los datos que circulan por las plataformas y herramientas que utilizamos, y uso del cifrado en reposo que ofrecen dichas plataformas.
Gestión de proveedores y subencargados. Uso de plataformas de reconocida solvencia con sus propios programas de seguridad auditados, en condiciones de protección de datos que no ofrezcan menos protección que este DPA. Consulta el Anexo III.
Minimización y separación de datos. Tratamos solo los datos necesarios para los Servicios y nunca mezclamos los datos de un cliente con los de otro.
Registro y supervisión. El acceso a las cuentas de los clientes queda registrado en las plataformas correspondientes y se revisa cualquier actividad inusual.
Personal. Obligaciones de confidencialidad y orientación sobre protección de datos para las personas que prestan los Servicios.
Respuesta a incidentes. Un proceso documentado para identificar, contener y notificar incidentes, incluida la notificación de violaciones de seguridad conforme a los requisitos legales.
Continuidad del negocio. Uso de las capacidades de redundancia y copia de seguridad de las plataformas en la nube utilizadas para prestar los Servicios.

Anexo III: Subencargados autorizados

Air Trending contrata a los Subencargados indicados en su página de Subencargados para dar soporte a los Servicios, por ejemplo en CRM y automatización, publicidad y analítica, gestión del consentimiento, pagos y alojamiento.

Para solicitar la lista actualizada de Subencargados o suscribirte a las notificaciones de cambios, escribe a gdpr@air-trending.com con el asunto "Solicitud de lista de subencargados".

Addendum sobre leyes estatales de privacidad de Estados Unidos

Cuando Air Trending trate Datos Personales sujetos a leyes estatales de privacidad de Estados Unidos, incluidas la CCPA y la CPRA, la CPA, la CTDPA, la UCPA y la VCDPA, Air Trending actúa como "service provider" (proveedor de servicios) o "processor" (encargado), según corresponda, y:

Tratará los Datos Personales únicamente para los fines limitados y especificados en el Contrato y en este DPA;
No "venderá" ("sell") ni "compartirá" ("share") Datos Personales según la definición de la legislación aplicable, ni los combinará con datos de otras fuentes salvo en la medida permitida para prestar los Servicios;
Asistirá al Cliente en la respuesta a las solicitudes de los consumidores cuando sea necesario;
Aplicará procedimientos de seguridad razonables y adecuados a la naturaleza de los Datos Personales;
Notificará al Cliente si determina que ya no puede cumplir sus obligaciones conforme a la legislación aplicable;
Trasladará las mismas obligaciones a los Subencargados autorizados y supervisará su cumplimiento;
Siguiendo las indicaciones del Cliente, suprimirá o devolverá los Datos Personales al finalizar los Servicios, salvo que la ley permita su conservación.

Contacto

Preguntas sobre este DPA o solicitudes de privacidad: gdpr@air-trending.com

Aviso legal

Este DPA se facilita para alinear la operativa con los requisitos habituales de protección de datos y no constituye asesoramiento jurídico. El Cliente debe consultar a sus propios asesores jurídicos para asegurarse de que este DPA cumple sus necesidades específicas de cumplimiento normativo.