Acuerdo de encargo del tratamiento (DPA)

El presente Acuerdo de encargo del tratamiento («DPA») forma parte de las Condiciones del servicio SaaS y de cada Pedido celebrado entre Fengming Media Solutions LLC («Fengming» o el «Encargado del tratamiento») y el cliente (el «Cliente» o el «Responsable del tratamiento»). Se aplica siempre que Fengming trate datos personales por cuenta del Cliente en el marco de la prestación del Servicio, y tiene por objeto cumplir los requisitos del artículo 28 del Reglamento General de Protección de Datos de la UE y del Reino Unido («RGPD») y de las leyes de privacidad de los estados de EE. UU. aplicables a los proveedores de servicios y a los encargados del tratamiento.

1. Funciones de las partes

1.1. El Cliente es el responsable del tratamiento de los datos personales incluidos en los Datos del Cliente, y Fengming los trata como encargado del tratamiento (o como «proveedor de servicios» (service provider) conforme a las leyes de los estados de EE. UU.) por cuenta del Cliente.

1.2. Fengming tratará los datos personales únicamente siguiendo las instrucciones documentadas del Cliente. Las Condiciones del servicio SaaS, el Pedido, el presente DPA y el uso y la configuración del Servicio por parte del Cliente constituyen las instrucciones del Cliente. Fengming informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.

2. Detalles del tratamiento

• Objeto y duración: prestación del Servicio durante la vigencia del Pedido y hasta la supresión de los Datos del Cliente de conformidad con las Condiciones del servicio SaaS.
• Naturaleza y finalidad: alojamiento, almacenamiento, organización, consulta, transmisión, copia de seguridad y supresión de datos, y soporte técnico, con el fin de prestar el Servicio.
• Categorías de interesados: los Usuarios autorizados del Cliente (empleados, agentes y colaboradores); y los clientes, clientes potenciales y otros contactos del Cliente (por ejemplo, propietarios de inmuebles, compradores, arrendatarios, contactos comerciales (leads) y otras personas que intervengan en operaciones).
• Tipos de datos personales: datos identificativos y de contacto; datos profesionales; datos sobre inmuebles y operaciones; comunicaciones y notas; citas y visitas; documentos y contratos; registros de firma electrónica; imágenes; y datos técnicos, como los registros de acceso.
• Categorías especiales: el Servicio no está diseñado para tratar categorías especiales de datos personales ni datos relativos a condenas penales. El Cliente no cargará dichos datos salvo que lo permita la ley y se haya acordado por escrito.

3. Obligaciones de Fengming

Fengming:

• garantizará que las personas autorizadas para tratar datos personales estén sujetas a obligaciones de confidencialidad;
• aplicará las medidas técnicas y organizativas descritas en el Anexo I;
• asistirá al Cliente, mediante medidas apropiadas y teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados que ejerzan sus derechos;
• asistirá al Cliente para garantizar el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad de los datos personales, evaluación de impacto relativa a la protección de datos y consulta previa, teniendo en cuenta la información a disposición de Fengming;
• no venderá ni compartirá datos personales, no los conservará, utilizará ni comunicará para ningún fin distinto de la prestación del Servicio, y no los combinará con datos personales recibidos de otras fuentes, salvo en la medida permitida por la legislación aplicable;
• pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente DPA.

4. Subencargados del tratamiento

4.1. El Cliente otorga a Fengming una autorización general para recurrir a subencargados del tratamiento. Los subencargados del tratamiento actuales se enumeran en el Anexo II.

4.2. Fengming informará al Cliente con al menos treinta (30) días de antelación de cualquier incorporación o sustitución prevista de subencargados del tratamiento. El Cliente podrá oponerse por motivos razonables relacionados con la protección de datos dentro de dicho plazo; si las partes no logran solventar la oposición, el Cliente podrá dar por terminado el Servicio afectado y obtener el reembolso de las tarifas abonadas por anticipado correspondientes al periodo restante.

4.3. Fengming impondrá a cada subencargado del tratamiento obligaciones de protección de datos sustancialmente equivalentes a las del presente DPA y seguirá siendo responsable del cumplimiento por parte de sus subencargados del tratamiento.

5. Violaciones de la seguridad de los datos personales

Fengming notificará al Cliente sin dilación indebida y, cuando sea posible, en un plazo de cuarenta y ocho (48) horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos del Cliente. La notificación incluirá la información a disposición de Fengming que el Cliente necesite razonablemente para cumplir sus propias obligaciones de notificación, y Fengming adoptará medidas razonables para contener la violación y mitigar sus efectos.

6. Transferencias internacionales

6.1. Fengming está establecida en Estados Unidos y algunos subencargados del tratamiento pueden tratar datos fuera del Espacio Económico Europeo (EEE), el Reino Unido o Suiza.

6.2. Para las transferencias de datos personales desde el EEE a Fengming en un país que no cuente con una decisión de adecuación, las partes acuerdan las cláusulas contractuales tipo aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo dos (de responsable a encargado), que se incorporan por referencia, con las siguientes opciones: se aplica la cláusula 7 (cláusula de incorporación); cláusula 9, opción 2 (autorización general), con el plazo de preaviso de la sección 4.2; cláusula 11, no se aplica el texto opcional; cláusula 13, la autoridad de control competente respecto del Cliente; cláusulas 17 y 18, la legislación y los tribunales de Irlanda. Los Anexos I y II del presente DPA sirven de anexos de las cláusulas. Para las transferencias desde el Reino Unido, se aplica el Anexo de Transferencia Internacional de Datos (International Data Transfer Addendum) emitido por el Comisionado de Información del Reino Unido (UK Information Commissioner) y, para las transferencias desde Suiza, se aplican las cláusulas con las adaptaciones necesarias.

6.3. En caso de contradicción entre el presente DPA y las cláusulas contractuales tipo, prevalecerán las cláusulas.

7. Auditorías

Fengming responderá a las solicitudes razonables de información por escrito sobre su cumplimiento del presente DPA. Si dicha información no es suficiente, el Cliente podrá realizar una auditoría, no más de una vez al año, con un preaviso de al menos treinta (30) días, en horario laboral, a su cargo y con sujeción a obligaciones de confidencialidad, o encargar su realización a un auditor independiente sujeto a confidencialidad.

8. Devolución y supresión de los datos

Al finalizar la prestación del Servicio, Fengming permitirá al Cliente exportar los Datos del Cliente y, a continuación, los suprimirá de conformidad con las Condiciones del servicio SaaS, salvo que la legislación aplicable exija su conservación.

9. Responsabilidad y orden de prelación

La responsabilidad de cada parte en virtud del presente DPA está sujeta a las limitaciones de las Condiciones del servicio SaaS, salvo cuando la legislación aplicable no lo permita. En caso de contradicción en relación con el tratamiento de datos personales, el presente DPA prevalecerá sobre las Condiciones del servicio SaaS y el Pedido.

10. Contacto

Las preguntas sobre protección de datos relativas al presente DPA pueden enviarse a privacy@fengming.media.

Anexo I — Medidas técnicas y organizativas

• Aislamiento: cada Cliente utiliza una Instancia separada, con sus propios datos y usuarios, que no se comparte con otros clientes.
• Control de acceso: permisos basados en roles (por ejemplo, administrador, gestor y agente), credenciales individuales y acceso limitado a lo que necesita cada rol.
• Cifrado en tránsito: todas las conexiones al Servicio utilizan HTTPS/TLS.
• Almacenamiento protegido de archivos: los documentos y las imágenes se guardan en un almacenamiento privado y se accede a ellos mediante enlaces firmados temporales.
• Copias de seguridad: copias de seguridad periódicas del entorno de alojamiento.
• Gestión de cambios: los cambios en el Servicio se despliegan a través de un repositorio con control de versiones.
• Personal: el acceso del personal de Fengming a los Datos del Cliente se limita a lo necesario para el soporte, el mantenimiento y la seguridad, con sujeción a obligaciones de confidencialidad.
• Gestión de incidentes: procedimientos para detectar, investigar y notificar incidentes de seguridad.

Anexo II — Subencargados del tratamiento

Subencargado del tratamiento	Servicio	Ubicación del tratamiento
Hostinger	Alojamiento del Servicio y de las bases de datos; correo electrónico	Según lo indicado en el Pedido o en la configuración de la Instancia
Cloudflare (R2)	Almacenamiento de documentos e imágenes	Jurisdicción de la Unión Europea, cuando así se configure
Brevo	Envío de correos electrónicos transaccionales desde el Servicio, cuando lo gestione Fengming	Unión Europea
Google (Google Workspace)	Comunicaciones de soporte y documentación interna de Fengming	Estados Unidos y otras ubicaciones

Las integraciones que active el Cliente con sus propias cuentas en servicios de terceros (por ejemplo, proveedores de firma electrónica, calendario o correo electrónico) no son subencargados del tratamiento de Fengming; su uso se rige por el contrato entre el Cliente y dichos proveedores.