Contrato de encargo del tratamiento

Partes y aceptación

Este contrato de encargo del tratamiento (DPA) forma parte de las condiciones de uso y se acepta al contratar el servicio. El cliente actúa como responsable de los datos de visitantes de sus webs. El encargado es Julio Rodríguez Cruz, nombre comercial OVERTRACKING, NIF 53194665N, Avenida Gregorio Espino, 36205 Vigo (Pontevedra), España. Las solicitudes e instrucciones documentadas se comunican mediante el formulario de contacto.

Objeto y duración

OVERTRACKING trata datos de visitantes por cuenta del cliente para prestar analítica web sin cookies durante la vigencia del servicio y hasta su devolución o supresión conforme a este contrato. Este contrato prevalece sobre las condiciones generales en caso de contradicción relativa a este tratamiento.

Naturaleza, finalidad e interesados

El tratamiento comprende recepción, seudonimización, organización, almacenamiento, consulta, agregación y supresión para ofrecer informes de tráfico, eventos, objetivos, análisis de rendimiento y errores, y mapas de calor configurados por el cliente. Los interesados son los visitantes de las webs del cliente. El cliente determina las finalidades, configuración y base jurídica, informa a los visitantes y garantiza que sus instrucciones respetan la normativa de protección de datos.

Tipos de datos

Se tratan URL visitadas y de referencia, user agent, idioma del navegador, resolución, eventos y errores JavaScript, y capturas de mapas de calor cuando se habilitan. La IP se utiliza solo para geolocalización y una huella seudónima mediante un hash no reversible con sal diaria y específica de cada sitio. La IP no se guarda en claro. El pixel no utiliza cookies. El cliente debe evitar incluir datos sensibles o personales innecesarios en URL, eventos o contenido capturado.

Instrucciones documentadas y confidencialidad

OVERTRACKING trata los datos únicamente siguiendo instrucciones documentadas del cliente, incluidas las relativas a transferencias, salvo obligación del Derecho de la Unión o de un Estado miembro. En ese caso informa antes al cliente, salvo prohibición legal por razones importantes de interés público. Si considera que una instrucción infringe la normativa de protección de datos, lo comunica inmediatamente al cliente. El personal autorizado está sujeto a confidencialidad y accede solo a los datos necesarios para sus funciones.

Seguridad del tratamiento

OVERTRACKING aplica medidas técnicas y organizativas apropiadas al riesgo conforme al artículo 32 RGPD, atendiendo a la naturaleza, alcance, contexto y fines del tratamiento. El anexo describe las medidas, que se revisan y mantienen durante la prestación del servicio.

Subencargados

El cliente concede autorización general por escrito para los proveedores identificados en la lista de subencargados. OVERTRACKING avisa por correo a los clientes con antelación de incorporaciones o sustituciones, con tiempo razonable para oponerse por motivos de protección de datos antes de su aplicación. Las partes buscan una alternativa adecuada; si no existe, el cliente puede terminar el servicio afectado antes del cambio. OVERTRACKING impone obligaciones equivalentes a los subencargados y responde ante el cliente del cumplimiento de sus obligaciones.

Asistencia al cliente

Teniendo en cuenta la naturaleza del tratamiento, OVERTRACKING ayuda mediante medidas apropiadas a atender solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Las solicitudes recibidas directamente se trasladan al cliente sin dilación indebida. Con la información disponible, también asiste en seguridad, obligaciones sobre brechas, evaluaciones de impacto y consultas previas a la autoridad de control conforme a los artículos 32 a 36 RGPD.

Violaciones de seguridad

OVERTRACKING notifica al cliente sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento de una violación de seguridad que afecte a datos tratados por su cuenta. La notificación describe su naturaleza, categorías y cifras aproximadas de afectados cuando se conozcan, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información puede completarse por fases sin nuevas dilaciones indebidas. OVERTRACKING coopera en la contención, investigación y notificaciones del cliente.

Transferencias internacionales

Los datos analíticos se alojan en la Unión Europea. Si un subencargado trata datos fuera del Espacio Económico Europeo, OVERTRACKING garantiza un mecanismo de transferencia conforme al capítulo V RGPD, incluidas las cláusulas contractuales tipo de la Comisión Europea cuando procedan y las medidas complementarias necesarias. La lista de subencargados identifica proveedores y ubicaciones.

Devolución y supresión

Al finalizar el servicio, el cliente elige entre la devolución o supresión de los datos personales tratados por su cuenta, y OVERTRACKING elimina las copias existentes salvo obligación de conservación del Derecho de la Unión o de un Estado miembro. Los datos conservados permanecen protegidos y se tratan solo para cumplir esa obligación. Las copias de seguridad quedan aisladas del uso ordinario y se eliminan conforme al ciclo de copias aplicable.

Información y auditorías

OVERTRACKING facilita la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permite y contribuye a auditorías razonables, incluidas inspecciones, del cliente o de un auditor independiente designado por él. Se coordinan con preaviso razonable y garantías de confidencialidad y seguridad, sin limitar las facultades de las autoridades ni otros derechos imperativos.

Anexo: medidas técnicas y organizativas

Se aplican las siguientes medidas al servicio:

Cifrado en tránsito mediante TLS.
Acceso por cuenta y autenticación de doble factor (2FA).
Aislamiento por web con comprobación de autorización en el servidor.
Copias de seguridad y procedimientos de recuperación.
Registros de acceso y revisión de permisos.
Minimización de datos y seudonimización de visitantes.
Pixel de seguimiento sin cookies.