Tratamiento de Datos

Última actualización: [FECHA DE ÚLTIMA ACTUALIZACIÓN]

Este documento reúne la información sobre cómo se tratan los datos personales en OcarinaCore y se divide en tres partes:

• Parte A. Registro de Actividades de Tratamiento (art. 30 RGPD), en el que [RAZÓN SOCIAL] actúa como responsable y como encargado del tratamiento.
• Parte B. Acuerdo de Encargo de Tratamiento (Data Processing Agreement, DPA) conforme al art. 28 RGPD, aplicable entre cada Cliente y OcarinaCore. Forma parte de los Términos y Condiciones del Servicio.
• Parte C. Guía práctica para el Cliente sobre prospección B2B conforme a la normativa.

Titular: [RAZÓN SOCIAL] · NIF/CIF [NIF/CIF] · [DOMICILIO SOCIAL] · [DATOS REGISTRALES] · [EMAIL DE CONTACTO] · DPO: [EMAIL DPO].

Parte A. Registro de Actividades de Tratamiento

1. Actividades en las que OcarinaCore es responsable del tratamiento

Datos comunes a todas las actividades

1.1. Gestión de usuarios y clientes

1.2. Solicitudes de demo y alta

1.3. Soporte y atención al cliente

1.4. Seguridad, registro de auditoría y prevención del fraude

1.5. Facturación y gestión económica

1.6. Comunicaciones comerciales propias

1.7. Atención de derechos de los interesados

2. Actividades en las que OcarinaCore es encargado del tratamiento

Conforme al art. 30.2 RGPD, OcarinaCore mantiene el siguiente registro de las categorías de tratamientos que efectúa por cuenta de sus Clientes:

Parte B. Acuerdo de Encargo de Tratamiento (DPA)

Este Acuerdo de Encargo de Tratamiento (el "Acuerdo") se celebra entre:

• El Cliente, identificado en el pedido, propuesta comercial o cuenta de la Plataforma (el "Responsable"); y
• [RAZÓN SOCIAL], NIF/CIF [NIF/CIF], con domicilio en [DOMICILIO SOCIAL], titular de OcarinaCore (el "Encargado").

Se entiende aceptado con la aceptación de los Términos y Condiciones del Servicio y prevalece sobre ellos en materia de protección de datos. Si el Cliente lo solicita, podrá formalizarse en documento firmado.

1. Objeto

1.1. El presente Acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable para la prestación del servicio OcarinaCore (el "Servicio"), conforme al art. 28 RGPD y al art. 33 LOPDGDD.

1.2. El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable. Constituyen instrucciones documentadas: (i) estos Términos y el presente Acuerdo; (ii) la configuración del Servicio realizada por el Responsable y sus Usuarios (importaciones, secuencias, integraciones, funciones de IA activadas); y (iii) cualquier instrucción adicional por escrito aceptada por ambas partes.

1.3. Si el Encargado considera que una instrucción infringe el RGPD u otra normativa de protección de datos, informará inmediatamente al Responsable.

2. Duración

El presente Acuerdo estará vigente mientras se preste el Servicio y, posteriormente, durante el tiempo necesario para la devolución y supresión de los datos conforme a la cláusula 12.

3. Naturaleza y finalidad del tratamiento

4. Tipos de datos personales y categorías de interesados

Datos excluidos. El Responsable no introducirá categorías especiales de datos (art. 9 RGPD), datos penales (art. 10 RGPD) ni datos de menores, salvo pacto expreso por escrito con las garantías adecuadas.

5. Obligaciones del Responsable

El Responsable se obliga a:

• Garantizar que dispone de una base jurídica válida para el tratamiento y, en caso de interés legítimo, haber realizado y documentado la prueba de ponderación.
• Cumplir el deber de información a los interesados (art. 14 RGPD).
• Atender los derechos de los interesados, con la asistencia del Encargado.
• Cumplir la normativa de comunicaciones comerciales (LSSI-CE) y las condiciones de uso de plataformas de terceros.
• Realizar, cuando proceda, la evaluación de impacto (art. 35 RGPD).
• Supervisar el tratamiento y el cumplimiento del RGPD por el Encargado.
• Facilitar instrucciones lícitas y configurar el Servicio de forma acorde a la normativa.

6. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos solo para la finalidad del encargo y según las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso informará previamente al Responsable salvo prohibición legal.
2. No utilizar los datos para fines propios, ni venderlos, cederlos o combinarlos con datos de otros clientes. Los datos de cada Responsable se mantienen aislados lógicamente en su espacio de trabajo.
3. No utilizar los datos para entrenar modelos de IA, ni propios ni de terceros.
4. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que reciben formación adecuada.
5. Aplicar las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo (art. 32 RGPD).
6. Respetar las condiciones para recurrir a subencargados (cláusula 7).
7. Asistir al Responsable en la atención de los derechos de los interesados (cláusula 8).
8. Asistir al Responsable en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
9. Notificar las brechas de seguridad conforme a la cláusula 9.
10. Suprimir o devolver los datos al finalizar el Servicio (cláusula 12).
11. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 10).
12. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
13. Designar un Delegado de Protección de Datos, contactable en [EMAIL DPO].
14. Tratar los datos en la Unión Europea, salvo las transferencias previstas en el Anexo I con garantías adecuadas.

7. Subencargados del tratamiento

7.1. Autorización general. El Responsable otorga autorización general al Encargado para recurrir a los subencargados indicados en el Anexo I.

7.2. Cambios. El Encargado informará al Responsable, con al menos 30 días de antelación, de cualquier incorporación o sustitución de subencargados, por email o aviso en la Plataforma. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si las partes no alcanzan una solución, el Responsable podrá resolver el contrato respecto del Servicio afectado, con reembolso proporcional de la parte prepagada no consumida.

7.3. Condiciones. El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que establece este Acuerdo, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento de sus obligaciones.

7.4. Proveedores activados por el Responsable. Cuando el Responsable active integraciones opcionales (Hunter.io, ZeroBounce, HubSpot, Pipedrive, Zapier, Make, webhooks o la API pública), lo hace siguiendo su propia instrucción. En el caso de servicios del CRM o automatización del propio Responsable (HubSpot, Pipedrive, Zapier, Make, webhooks hacia sus sistemas), el tercero actúa como encargado del Responsable según el contrato que este mantenga con él, y el Encargado se limita a transmitir los datos al destino configurado. En el caso de proveedores de verificación de emails a los que OcarinaCore se conecte con sus propias credenciales, actuarán como subencargados del Encargado.

8. Asistencia en el ejercicio de derechos

8.1. El Servicio incluye funcionalidades para que el Responsable pueda atender directamente los derechos de los interesados: búsqueda, exportación (acceso y portabilidad), edición (rectificación), eliminación (supresión), lista de exclusión "no contactar" (oposición) y pausa de secuencias (limitación).

8.2. Si un interesado se dirige directamente al Encargado, este no responderá en nombre del Responsable, salvo instrucción, y le trasladará la solicitud en un plazo máximo de 5 días hábiles, indicando, si es posible, el Responsable competente al interesado.

8.3. Cuando un lead hace clic en el enlace de baja de un email enviado mediante el Servicio, el Encargado lo incorporará automáticamente a la lista de exclusión del Responsable y detendrá las secuencias en curso para ese contacto.

9. Notificación de violaciones de seguridad

9.1. El Encargado notificará al Responsable, sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que afecte a datos del Responsable.

9.2. La notificación incluirá, en la medida en que se disponga de ella (pudiendo facilitarse de forma gradual):

• Descripción de la naturaleza de la violación, categorías y número aproximado de interesados y registros afectados.
• Nombre y datos de contacto del DPO o punto de contacto.
• Posibles consecuencias de la violación.
• Medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

9.3. Corresponde al Responsable notificar a la autoridad de control (en 72 horas) y, en su caso, a los interesados. El Encargado prestará la asistencia necesaria.

9.4. El Encargado documentará todas las violaciones de seguridad, sus efectos y las medidas correctivas adoptadas.

10. Auditorías e inspecciones

10.1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo, incluyendo: descripción de medidas de seguridad, lista de subencargados, resultados de auditorías o certificaciones disponibles y respuestas a cuestionarios de seguridad razonables.

10.2. El Responsable podrá realizar, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, una auditoría al año (o adicionales en caso de brecha o requerimiento de autoridad), con un preaviso mínimo de 30 días, en horario laborable, sin afectar desproporcionadamente a la operativa ni a la seguridad de otros clientes. Los costes de la auditoría serán a cargo del Responsable, salvo que se detecte un incumplimiento material del Encargado.

10.3. Cuando sea suficiente, la auditoría podrá sustituirse por la entrega de informes de auditoría o certificaciones de terceros independientes.

11. Transferencias internacionales

El Encargado no transferirá datos fuera del Espacio Económico Europeo salvo a los subencargados del Anexo I y con las garantías del Capítulo V RGPD (decisión de adecuación, incluido el EU-US Data Privacy Framework, o Cláusulas Contractuales Tipo, junto con evaluación de impacto de la transferencia y medidas complementarias cuando sean necesarias).

12. Devolución y supresión de los datos

12.1. A la terminación del Servicio, el Responsable podrá exportar sus datos en formatos estructurados (CSV/JSON) durante un plazo de 30 días.

12.2. Transcurrido dicho plazo, el Encargado suprimirá los datos personales de los sistemas de producción y, en un plazo máximo de 90 días adicionales, de las copias de seguridad, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación, en cuyo caso los mantendrá bloqueados durante el plazo legal.

12.3. A petición del Responsable, el Encargado emitirá un certificado de supresión.

13. Responsabilidad

Cada parte responderá de los daños derivados del incumplimiento de sus obligaciones conforme al art. 82 RGPD. El Encargado responderá únicamente cuando haya incumplido las obligaciones específicamente dirigidas a los encargados o haya actuado al margen o en contra de las instrucciones lícitas del Responsable. En lo demás, se aplicarán las limitaciones de responsabilidad previstas en los Términos, salvo en los casos en que la ley no permita su limitación.

14. Ley aplicable

Este Acuerdo se rige por la legislación española y el RGPD. Las controversias se someterán a los Juzgados y Tribunales de [JURISDICCIÓN/CIUDAD].

Anexo I. Subencargados autorizados

Anexo II. Medidas técnicas y organizativas

Las siguientes medidas se aplican tomando como marco de referencia la norma ISO/IEC 27001 y, en lo pertinente, el Esquema Nacional de Seguridad:

Parte C. Guía para el Cliente: prospección B2B conforme a la normativa

Esta guía tiene carácter orientativo y no constituye asesoramiento jurídico. Cada Cliente, como responsable del tratamiento, debe analizar su caso concreto.

1. ¿Qué base jurídica utilizar?

En la prospección B2B dirigida a profesionales en su condición de tales, la base jurídica habitual es el interés legítimo del responsable (art. 6.1.f RGPD). El considerando 47 RGPD reconoce que la mercadotecnia directa puede considerarse realizada por interés legítimo. No obstante, el interés legítimo no es automático: exige superar una prueba de ponderación.

El consentimiento rara vez es viable en prospección en frío, y no debe utilizarse como base si no se ha obtenido realmente de forma libre, específica, informada e inequívoca.

2. Prueba de ponderación (Legitimate Interest Assessment)

Antes de iniciar una campaña, documenta una prueba en tres pasos:

Factores que refuerzan la ponderación: relevancia del mensaje respecto del cargo; uso exclusivo de datos profesionales; frecuencia moderada (pocos seguimientos); información transparente desde el primer contacto; mecanismo de oposición sencillo; conservación limitada.

Factores que la debilitan: contactar a perfiles sin relación con la oferta; usar emails personales; tratar datos sensibles; contactos masivos e indiscriminados; ignorar las bajas; conservar datos indefinidamente.

3. Información al interesado (art. 14 RGPD)

Cuando los datos no se obtienen del propio interesado, debes informarle en la primera comunicación con él, o como máximo en un mes desde la obtención. La información debe incluir: identidad y contacto del responsable (y del DPO si lo hay); finalidades y base jurídica; el interés legítimo perseguido; categorías de datos; fuente de los datos (p. ej., "perfil profesional público de LinkedIn"); destinatarios (incluido OcarinaCore como encargado); transferencias internacionales; plazo de conservación; derechos y, en especial, el derecho de oposición; y derecho a reclamar ante la AEPD.

Modelo de pie para el primer contacto (adaptar):

Te escribimos desde [Empresa del Cliente] porque tu perfil profesional público indica que eres [cargo] en [empresa], y creemos que [motivo] puede interesarte. Tratamos tus datos profesionales (nombre, cargo, empresa y email corporativo), obtenidos de fuentes profesionales públicas, sobre la base de nuestro interés legítimo en contactar con profesionales del sector. Los conservaremos un máximo de [X] meses si no hay interés. Puedes oponerte en cualquier momento [respondiendo "no" / con este enlace de baja], así como ejercer tus derechos de acceso, rectificación, supresión y demás en [email del Cliente]. Más información: [enlace a la política de privacidad del Cliente].

En canales con limitación de caracteres (como invitaciones de LinkedIn), puede aplicarse un sistema de información por capas: una primera capa breve con identidad, finalidad y forma de oponerse, y un enlace a la información completa.

4. Oposición y lista de exclusión

• El derecho de oposición a la mercadotecnia directa es absoluto: si un interesado se opone, debes dejar de contactarle inmediatamente.
• OcarinaCore incorpora una lista de exclusión "no contactar" a nivel de espacio de trabajo, que impide que el contacto vuelva a entrar en secuencias aunque se reimporte. Úsala siempre.
• Las respuestas que indiquen rechazo (detectables también mediante la clasificación de respuestas por IA, que debes revisar) deben marcarse como oposición.
• Para la oposición, conserva solo los datos mínimos necesarios para respetarla (p. ej., email o URL del perfil).
• Consulta, cuando proceda, los sistemas de exclusión publicitaria (como Lista Robinson), especialmente si contactas a personas que pudieran actuar como consumidores (art. 23.4 LOPDGDD).

5. Emails comerciales: art. 21 LSSI-CE y matices B2B

• El art. 21.1 LSSI-CE prohíbe enviar comunicaciones comerciales por correo electrónico o medio equivalente que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios, salvo relación contractual previa respecto de productos similares (art. 21.2).
• La LSSI-CE no distingue de forma general entre destinatarios personas físicas consumidoras y profesionales, y la AEPD ha sancionado envíos a direcciones de profesionales. Por tanto, el email en frío B2B en España entraña un riesgo regulatorio real, incluso cuando el RGPD se cumpla mediante interés legítimo.
• Matices B2B: el riesgo es menor cuando se escribe a direcciones genéricas corporativas que no identifican a una persona (info@, compras@), aunque la LSSI-CE sigue siendo aplicable al envío comercial. Cuando el email identifica a una persona (nombre.apellido@empresa), se aplican conjuntamente el RGPD y la LSSI-CE.
• Recomendaciones para reducir el riesgo:
  • Prioriza un primer contacto en canales no sujetos al art. 21 (por ejemplo, invitación o mensaje en una red profesional) para solicitar permiso antes de enviar emails comerciales, o envía un primer email no promocional que solicite autorización.
  • Identifica claramente al remitente y el carácter comercial del mensaje (art. 20 LSSI-CE).
  • Incluye siempre un enlace de baja gratuito y sencillo (OcarinaCore lo incorpora por defecto; no lo elimines).
  • Limita el número de seguimientos y detén la secuencia ante cualquier respuesta.
  • En otros países, comprueba la normativa local (p. ej., algunos Estados miembros permiten el email B2B en régimen de opt-out).

6. Búsqueda y verificación de emails

• La generación de patrones (nombre.apellido@dominio) y la verificación técnica (MX/SMTP) suponen un tratamiento de datos personales: inclúyelo en tu ponderación y en la información del art. 14 ("email deducido a partir de tu nombre y dominio corporativo").
• Trata solo emails corporativos; no busques ni utilices emails personales.
• Ten en cuenta que los emails verificados no garantizan que la persona siga en la empresa: depura periódicamente.

7. Reclutamiento y uso de IA

• La prospección de candidatos puede basarse en interés legítimo con los mismos requisitos.
• Los sistemas de IA destinados a filtrar, evaluar o seleccionar candidatos son de alto riesgo según el Anexo III del Reglamento (UE) 2024/1689 (AI Act). No utilices el scoring ni otras funciones de IA de OcarinaCore para decidir sobre candidatos: úsalas solo como apoyo a la redacción y organización, con decisión humana.
• No adoptes decisiones basadas únicamente en tratamientos automatizados que afecten significativamente a las personas (art. 22 RGPD).

8. LinkedIn y otras plataformas

Recuerda que las condiciones de uso de LinkedIn pueden prohibir la automatización y la extracción de datos. Su uso con OcarinaCore es decisión y riesgo del Cliente (ver cláusula 5.3 de los Términos). Configura límites conservadores y revisa periódicamente dichas condiciones.

9. Conservación y minimización

• Define plazos de conservación (por ejemplo, 6 a 12 meses sin interacción) y elimina o anonimiza los leads inactivos.
• Importa solo los campos necesarios y evita notas subjetivas o información irrelevante sobre las personas.

10. Lista de comprobación antes de lanzar una campaña

Contacto: [RAZÓN SOCIAL] · [DOMICILIO SOCIAL] · [EMAIL DE CONTACTO] · DPO: [EMAIL DPO]