Acuerdo de tratamiento de datos

Versión: 1.4 · En vigor desde: 3 de noviembre de 2026

Este Acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre el Cliente empresarial que ha aceptado los Términos del servicio de Mailistix (los «Términos») (el «Cliente», «usted» y «su») y Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Germany, inscrita en el registro mercantil del Amtsgericht Charlottenburg (Berlin) con el número HRB 291268 B («Mailistix», «nosotros», «nos» y «nuestro»). Regula, como contrato de encargo del tratamiento, cómo tratamos datos personales por cuenta suya cuando utiliza el Servicio de Mailistix, tal como exigen el artículo 28 del RGPD, el RGPD del Reino Unido y la Ley federal suiza de protección de datos. La versión actual se publica en https://mailistix.com/legal/dpa.

En resumen (solo a modo de orientación; rigen las secciones siguientes):

• Su correo permanece en sus proveedores de buzón (por ejemplo, Google o Microsoft) y, como copia local, en sus dispositivos. No tenemos acceso a esa copia. Este Acuerdo cubre únicamente lo que pasa por nuestros Servicios en la nube o se conserva en ellos.
• El contenido del correo llega a nuestros Servicios en la nube únicamente cuando uno de sus usuarios utiliza una Función de IA, incluido el aprendizaje a partir de las modificaciones tras enviar un borrador de IA modificado. Lo transmitimos a nuestros proveedores de IA, devolvemos el resultado y no almacenamos el contenido.
• Por cuenta suya, nuestros servidores conservan únicamente unos pocos registros técnicos: registros de notificaciones push (7 días), registros de suscripción a notificaciones (watch) de buzones (mientras un buzón esté conectado) y archivos enviados a soporte (30 días). Los correos de soporte y los mensajes del formulario de contacto permanecen en nuestro buzón durante 2 años desde el último mensaje.
• Usted es el responsable del tratamiento y nosotros somos su encargado del tratamiento. Para las Cuentas de sus usuarios, la facturación, la seguridad y la telemetría opcional, somos un responsable del tratamiento independiente con arreglo a nuestra Política de privacidad.
• Nuestros subencargados del tratamiento figuran en el Anexo 3. Avisamos con 14 días de antelación antes de añadir uno, y usted puede oponerse.

1. Celebración, ámbito y prelación

1.1 Celebración. Este Acuerdo forma parte de los Términos. Se aplica automáticamente, sin firma, a todo Cliente empresarial que acepte los Términos, desde el momento de la aceptación o desde la fecha de entrada en vigor indicada arriba, la que sea posterior. Se celebra en forma electrónica, lo que cumple el requisito de forma escrita del artículo 28, apartado 9, del RGPD. Cuando un Usuario autorizado acepta los Términos en el Software, registramos la versión de los Términos y de este Acuerdo que se aceptó, la hora de la aceptación registrada en nuestro servidor, si se dio al registrarse o en un aviso posterior, y la versión del Software (Sección 1.8 de los Términos); Configuración › Información legal muestra desde cuándo se aplica la versión actual de este Acuerdo. Puede obtener y guardar este Acuerdo en cualquier momento en la dirección indicada arriba y en Configuración › Información legal, y mantenemos disponibles las versiones anteriores. Si necesita para sus registros una copia firmada por nosotros, escriba a legal@mailistix.com y le enviaremos este Acuerdo firmado por nosotros. Una copia firmada no modifica su contenido.

1.2 Usuarios autorizados. Usted utiliza el Servicio a través de las personas físicas que son titulares de Cuentas y las utilizan para los fines de su empresa, como sus empleados y colaboradores (los «Usuarios autorizados»). Cada Cuenta corresponde a una sola persona física (véase el EULA). La persona que acepta los Términos en su nombre confirma que está facultada para obligarle. Usted es responsable de que sus Usuarios autorizados cumplan este Acuerdo. El Servicio no tiene cuentas de organización: indíquenos, por correo electrónico a legal@mailistix.com, qué Cuentas le corresponden y a quién debemos notificar con arreglo a este Acuerdo (Sección 17.6).

1.3 Ámbito. Este Acuerdo se aplica al tratamiento de Datos personales del Cliente que realizamos por cuenta suya en los Servicios en la nube. No se aplica a:

(a) el tratamiento realizado por el Software en sus dispositivos (Sección 3); ni

(b) el tratamiento respecto del cual actuamos como responsable del tratamiento independiente (Sección 2.4).

1.4 Prelación. Si este Acuerdo entra en conflicto con la Parte I de los Términos, con el EULA o con la Política de uso aceptable, prevalece este Acuerdo en lo que respecta al tratamiento de Datos personales del Cliente. Las Condiciones regionales conservan la prioridad que les otorgan los Términos. Cuando se apliquen las CCT (Sección 12), prevalecen sobre este Acuerdo y sobre los Términos. Nada de lo dispuesto en este Acuerdo ni en los Términos limita los derechos que los interesados o las autoridades de control tienen con arreglo a las CCT o a la Normativa de protección de datos.

1.5 Expresiones utilizadas. Las expresiones escritas con mayúscula inicial que no se definan en este Acuerdo tienen el significado que se les atribuye en los Términos.

2. Definiciones y funciones

2.1 Definiciones. En este Acuerdo:

• «Normativa de protección de datos» significa toda la normativa sobre protección de datos personales aplicable al tratamiento objeto de este Acuerdo, en particular el RGPD, la Ley federal alemana de protección de datos (BDSG), el RGPD del Reino Unido, la Ley federal suiza de protección de datos y, cuando proceda, las leyes estatales de los EE. UU. a las que se refiere la Sección 16.
• «RGPD» significa el Reglamento (UE) 2016/679.
• «RGPD del Reino Unido» significa el RGPD tal como forma parte del Derecho del Reino Unido, leído conjuntamente con la Data Protection Act 2018, en su versión modificada, en particular por la Data (Use and Access) Act 2025.
• «Ley federal suiza de protección de datos» significa la Ley federal suiza de 25 de septiembre de 2020 sobre protección de datos y sus ordenanzas.
• «Reglamento de Datos» significa el Reglamento (UE) 2023/2854 (el Reglamento de Datos de la UE).
• «Datos personales del Cliente» significa los datos personales contenidos en el Contenido del Cliente que tratamos por cuenta suya en los Servicios en la nube para prestar el Servicio, tal como se describe en el Anexo 1.
• «Subencargado» significa un encargado del tratamiento contratado por nosotros que trata Datos personales del Cliente.
• «Violación de la seguridad de los datos personales» significa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos personales del Cliente transmitidos, conservados o tratados de otra forma por nosotros o por nuestros Subencargados, o la comunicación o acceso no autorizados a dichos datos.
• «CCT» significa las cláusulas contractuales tipo que figuran en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.
• «Adenda del Reino Unido» significa la Adenda sobre transferencia internacional de datos a las cláusulas contractuales tipo de la Comisión Europea (International Data Transfer Addendum) emitida por el Information Commissioner del Reino Unido, versión B1.0, en vigor desde el 21 de marzo de 2022, tal como la haya revisado el Information Commissioner con arreglo a la Sección 18 de sus Cláusulas obligatorias (Mandatory Clauses).
• «Transferencia restringida» significa una transferencia de Datos personales del Cliente a un país situado fuera del EEE, del Reino Unido o de Suiza (según corresponda) que requiere garantías adecuadas con arreglo a la Normativa de protección de datos porque no la cubre ninguna decisión ni norma de adecuación.
• «responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «tratamiento» y «autoridad de control» tienen el significado que se les atribuye en el RGPD. A efectos de las demás leyes que integran la Normativa de protección de datos, incluyen los términos equivalentes (por ejemplo, «business» y «service provider»).

2.2 Usted como responsable del tratamiento. Respecto de los Datos personales del Cliente, usted es el responsable del tratamiento y nosotros somos su encargado del tratamiento.

2.3 Usted como encargado del tratamiento. Si usted trata Datos personales del Cliente por cuenta de otro responsable del tratamiento (por ejemplo, un cliente suyo), usted es encargado del tratamiento y nosotros somos su subencargado del tratamiento. En ese caso:

(a) usted confirma que el otro responsable del tratamiento ha autorizado el tratamiento conforme a este Acuerdo, incluida nuestra contratación y la de nuestros Subencargados;

(b) usted es el único punto de contacto entre el otro responsable del tratamiento y nosotros; usted nos transmite sus instrucciones y solicitudes, y nosotros aceptamos instrucciones únicamente de usted;

(c) usted transmite al otro responsable del tratamiento, cuando sea necesario, nuestras notificaciones e información con arreglo a este Acuerdo; y

(d) el otro responsable del tratamiento ejerce sus derechos de información y de auditoría a través de usted, conforme a la Sección 11; y

(e) usted se asegura de que este Acuerdo nos imponga las obligaciones de protección de datos que su contrato con el otro responsable del tratamiento exige respecto de un subencargado del tratamiento (artículo 28, apartado 4, del RGPD).

2.4 Tratamiento propio como responsable del tratamiento. Tratamos algunos datos personales de sus Usuarios autorizados como responsable del tratamiento independiente, con arreglo a nuestra Política de privacidad y no con arreglo a este Acuerdo, en concreto para:

(a) la Cuenta, el inicio de sesión y la autenticación;

(b) los Planes, los Créditos y la facturación; los pagos los gestiona Polar Software, Inc. como comerciante registrado (merchant of record), que actúa como responsable del tratamiento independiente y recibe la dirección de correo electrónico y el identificador de usuario de Mailistix del Usuario autorizado (y, en el proceso de pago, la dirección IP);

(c) los metadatos de uso de las solicitudes de IA (función, modelo, número de tokens, Créditos, hora, éxito o error, sin ningún contenido) para la facturación, el control de costes y la seguridad;

(d) la seguridad, la limitación de frecuencia y la prevención e investigación de abusos;

(e) la analítica de uso y los informes de fallos opcionales, solo con el consentimiento (opt-in) del Usuario autorizado;

(f) los registros de consentimiento, el registro de la aceptación de los Términos y de este Acuerdo (Sección 1.1), la Configuración de región, las actualizaciones de la aplicación y nuestra comunicación con los Usuarios autorizados, incluido el soporte (con excepción de los Datos personales del Cliente contenidos en los archivos enviados a soporte y en los mensajes de soporte, que tratamos con arreglo a este Acuerdo); y

(g) el cumplimiento de nuestras obligaciones legales.

Cuando la Normativa de protección de datos le exija informar a sus Usuarios autorizados sobre este tratamiento, puede remitirlos a la Política de privacidad.

3. Datos en sus dispositivos

3.1 Tratamiento local bajo su control. El Software almacena los Datos del buzón y otro Contenido del Cliente en los dispositivos en los que sus Usuarios autorizados lo instalan, en una base de datos cifrada cuya clave está protegida por el almacén de credenciales del sistema operativo. El Software sincroniza el correo directamente entre el dispositivo y el Buzón conectado. Este tratamiento tiene lugar en sus dispositivos bajo el control exclusivo suyo y de sus Usuarios autorizados. No tenemos acceso a la base de datos local, a su clave, a los tokens de buzón almacenados en el dispositivo ni al correo que contiene. No recibimos copias de ellos y no los tratamos por cuenta suya. El hecho de proporcionar el Software no nos convierte en su encargado del tratamiento respecto de esos datos.

3.2 Proveedores de buzón. Sus proveedores de buzón (Google, Microsoft o el proveedor de un buzón conectado mediante IMAP) proporcionan sus Buzones conectados con arreglo a los contratos que usted tiene con ellos. No son nuestros Subencargados. Lo mismo sucede cuando Google o Microsoft autorizan el acceso al buzón mediante OAuth y cuando Microsoft envía a nuestra función de servidor notificaciones de cambios sobre su buzón.

3.3 Cuándo salen los datos del dispositivo. Los Datos personales del Cliente llegan a los Servicios en la nube únicamente en las situaciones enumeradas en el Anexo 1, cada una de ellas iniciada por un Usuario autorizado o por un buzón que un Usuario autorizado haya conectado: uso de una Función de IA (incluido el aprendizaje a partir de las modificaciones después de que un Usuario autorizado envíe un borrador de IA modificado), conexión de un buzón, notificaciones push sobre correo nuevo, cancelación de la suscripción a boletines con un solo clic y archivos enviados a soporte.

3.4 Sus responsabilidades en relación con los dispositivos. Usted es responsable de proteger los dispositivos y las cuentas del sistema operativo en los que se ejecuta el Software, de las copias de seguridad y de eliminar los datos locales cuando un Usuario autorizado cese su relación con usted o se dé de baja un dispositivo. El Anexo 2, Parte B, y el EULA describen las funciones del Software previstas a tal efecto.

4. Instrucciones

4.1 Tratamiento solo siguiendo instrucciones. Tratamos los Datos personales del Cliente únicamente siguiendo sus instrucciones documentadas, inclusive con respecto a las transferencias a terceros países, salvo que lo exija el Derecho de la UE o de un Estado miembro (o, para datos del Reino Unido o de Suiza, el Derecho del Reino Unido o de Suiza) al que estemos sujetos. En ese caso, le informamos de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

4.2 Sus instrucciones. En el momento en que se celebra este Acuerdo, la totalidad de sus instrucciones documentadas es la siguiente:

(a) los Términos y este Acuerdo, incluidos sus Anexos;

(b) el uso y la configuración del Servicio por usted y por sus Usuarios autorizados, en particular la activación de las Funciones de IA en el cuadro de diálogo de consentimiento de IA, el inicio de una Función de IA, el envío de un borrador de IA modificado mientras las Funciones de IA están activadas (aprendizaje a partir de las modificaciones), la Configuración de región, la conexión o eliminación de un buzón, el inicio de una cancelación de suscripción con un solo clic y el envío de un archivo a soporte; y

(c) cualquier otra instrucción por escrito acordada entre las partes.

4.3 Configuración de región. Cada Usuario autorizado indica al Software dónde reside (la Configuración de región con arreglo a los Términos). Esta configuración es su instrucción sobre dónde se tratan las solicitudes de IA:

(a) «En Europa» (la UE, el EEE, el Reino Unido o Suiza), o sin respuesta: todo el tratamiento de IA tiene lugar en la UE (Anexo 3);

(b) «Fuera de Europa»: algunos modelos Gemini se ejecutan en el punto de conexión global de Google, que puede tratar datos en cualquier país en el que opere Google; el resto del tratamiento de IA permanece en la UE.

Usted es responsable de velar por que sus Usuarios autorizados respondan conforme a sus requisitos. Un Usuario autorizado puede cambiar la Configuración de región en Configuración › Privacidad e IA. Cualquier cambio se aplica únicamente a las solicitudes posteriores.

4.4 Otras instrucciones. Las demás instrucciones deben darse por escrito (basta el correo electrónico) y ser coherentes con los Términos y con el Servicio tal como se ofrece. Si una instrucción nos exigiera modificar el Servicio, o tratar Datos personales del Cliente de un modo que el Servicio no admite, podemos rechazarla. En ese caso, usted puede resolver los Términos respecto de las Cuentas afectadas.

4.5 Instrucciones ilícitas. Le informamos sin dilación indebida si, en nuestra opinión, una instrucción infringe la Normativa de protección de datos. Podemos suspender el cumplimiento de esa instrucción hasta que usted la confirme o la modifique.

4.6 Sin uso para nuestros propios fines. No tratamos Datos personales del Cliente para nuestros propios fines. En particular, no los vendemos, no los utilizamos para publicidad ni para elaborar perfiles, y no los utilizamos para entrenar, desarrollar ni mejorar modelos de inteligencia artificial o de aprendizaje automático, ya sean nuestros o de otros. Nuestros Subencargados de IA tienen prohibido por contrato utilizarlos para entrenar sus modelos. La personalización de los borradores descrita en el Anexo 1 funciona añadiendo ejemplos a la solicitud; no se entrena ni se modifica ningún modelo.

5. Confidencialidad

5.1 Concedemos acceso a los Datos personales del Cliente únicamente a las personas que los necesitan para prestar el Servicio. Cada una de ellas se ha comprometido a respetar la confidencialidad o está sujeta a una obligación de confidencialidad de naturaleza legal adecuada, que subsiste una vez finalizada su vinculación.

5.2 No almacenamos el contenido de las solicitudes de IA ni del Resultado de la IA (Anexo 1). Nuestro personal no lee los Datos personales del Cliente, salvo:

(a) cuando usted o un Usuario autorizado nos pida que examinemos un contenido concreto, por ejemplo, en un caso de soporte;

(b) cuando sea necesario para investigar un incidente de seguridad o un abuso; o

(c) cuando la ley lo exija.

Cada uno de estos accesos se limita a lo que exija su finalidad.

5.3 Secreto profesional. Si usted está sujeto al secreto profesional, en particular con arreglo al § 203, apartados 1 a 3, del Código Penal alemán (StGB), al § 43e de la Ley federal de la Abogacía (BRAO), al § 62a de la Ley de Asesores Fiscales (StBerG) o a normas comparables, actuamos como persona que colabora en su actividad profesional (mitwirkende Person, § 203, apartado 3, frase 2, StGB) en la medida en que tratemos secretos que se le hayan confiado a usted con arreglo a este Acuerdo. En tal caso:

(a) nos comprometemos a mantener la confidencialidad de dichos secretos, y somos conscientes de que su revelación no autorizada es punible conforme al § 203, apartado 4, frase 1, StGB;

(b) solo tomamos conocimiento de dichos secretos en la medida en que lo exija la prestación del Servicio (Sección 5.2);

(c) obligamos a guardar secreto, en forma de texto, a las personas que trabajan para nosotros y las informamos de las consecuencias penales de un incumplimiento; y

(d) solo contratamos Subencargados conforme a la Sección 7. Están obligados a la confidencialidad por sus condiciones de tratamiento de datos (Sección 7.2), pero no han asumido frente a nosotros ningún compromiso específico relativo al § 203 StGB, y algunos de ellos están establecidos, o tienen su sociedad matriz, fuera de la UE (Anexo 3).

Esta Sección 5.3 es el compromiso de confidencialidad al que se refiere la Sección 9.6 de los Términos; si lo solicita, le enviaremos una copia firmada por nosotros. Corresponde a usted decidir si sus normas profesionales le permiten utilizar las Funciones de IA o los Servicios en la nube con secretos que se le hayan confiado, en particular a la vista de la letra (d) (por ejemplo, § 43e, apartados 3 y 4, BRAO) (Sección 14.3(d) y Sección 9.6 de los Términos).

6. Seguridad

6.1 Aplicamos y mantenemos las medidas técnicas y organizativas descritas en el Anexo 2. Estas medidas garantizan un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas (artículo 32 del RGPD).

6.2 Las medidas están sujetas al progreso técnico. Podemos modificarlas, siempre que no se reduzca el nivel global de protección. Documentamos los cambios sustanciales y actualizamos el Anexo 2 en consecuencia.

6.3 Usted es responsable de evaluar si las medidas cumplen sus requisitos y de las medidas que se encuentran bajo su propio control (Sección 3.4 y Anexo 2, Parte B).

7. Subencargados del tratamiento

7.1 Autorización general. Usted nos concede una autorización general por escrito para contratar Subencargados. Quedan autorizados los Subencargados que figuran en el Anexo 3 y en https://mailistix.com/legal/subprocessors en el momento de celebrarse este Acuerdo.

7.2 Requisitos. Antes de que un Subencargado trate Datos personales del Cliente, nosotros:

(a) comprobamos que ofrece garantías suficientes para aplicar medidas técnicas y organizativas adecuadas;

(b) celebramos con él un contrato por escrito que le impone obligaciones de protección de datos que ofrecen, como mínimo, el mismo nivel de protección que este Acuerdo, tal como exige el artículo 28, apartado 4, del RGPD; y

(c) garantizamos que exista un mecanismo de transferencia lícito siempre que se produzca una Transferencia restringida (Sección 12).

Seguimos siendo plenamente responsables ante usted del cumplimiento de las obligaciones de cada Subencargado.

7.3 Aviso de cambios. Le informamos de cualquier incorporación o sustitución prevista de un Subencargado al menos 14 días antes de que empiece a tratar Datos personales del Cliente. Lo hacemos actualizando la página de Subencargados y mediante un aviso a las direcciones de correo electrónico de la Cuenta de sus Usuarios autorizados o en el Software, y por correo electrónico a su contacto de protección de datos si nos ha facilitado uno (Sección 17.6). El aviso indica el nombre del Subencargado, su servicio, el lugar del tratamiento y el mecanismo de transferencia.

7.4 Oposición. Usted puede oponerse a un nuevo Subencargado escribiendo a legal@mailistix.com en los 14 días siguientes al aviso, por motivos razonables relacionados con la protección de datos. Analizaremos la oposición con usted de buena fe y podremos proponer una solución, por ejemplo, no utilizar al nuevo Subencargado para sus Cuentas o desactivar para ellas la función afectada. Si no podemos dar solución a la oposición, usted puede resolver los Términos respecto de las Cuentas afectadas mediante notificación por escrito, con efectos a más tardar en la fecha en que el nuevo Subencargado empezaría a tratar Datos personales del Cliente por cuenta suya. En ese caso, le reembolsaremos, de forma proporcional y a través de Polar como nuestro comerciante registrado, las cuotas que haya abonado por anticipado correspondientes al periodo posterior a la resolución. Sus demás derechos conforme a la Normativa de protección de datos no se ven afectados.

7.5 Sustitución urgente. Si debemos sustituir a un Subencargado con poco preaviso por motivos que escapan a nuestro control razonable (por ejemplo, un incidente de seguridad en el Subencargado o el cese de su servicio), y la sustitución es necesaria para mantener la seguridad o la disponibilidad del Servicio, podemos contratar al sustituto antes de que termine el plazo de 14 días. En ese caso, se lo comunicamos sin dilación indebida, y la Sección 7.4 se aplica desde ese aviso. Cuando se apliquen las CCT, prevalece su cláusula 9.

7.6 Copias. Previa solicitud, le facilitamos una copia de las condiciones de protección de datos que hayamos acordado con un Subencargado, o un enlace a sus condiciones estándar. Podemos omitir la información comercial y las cláusulas no relacionadas con la protección de datos.

7.7 No son Subencargados. No son nuestros Subencargados: sus proveedores de buzón (Sección 3.2); Polar como comerciante registrado (Sección 2.4); los remitentes de boletines a los que se envía una solicitud de cancelación de la suscripción a petición de un Usuario autorizado; y los proveedores de sus sistemas operativos.

8. Asistencia

8.1 Solicitudes de los interesados. La mayor parte de los datos personales sobre sus Usuarios autorizados y sus interlocutores los conservan su proveedor de buzón y sus dispositivos, no nosotros (Sección 3). Teniendo en cuenta lo anterior, le asistimos, a través de medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes de los interesados que ejerzan los derechos que les reconoce el capítulo III del RGPD, así como los derechos equivalentes previstos en otras leyes que integran la Normativa de protección de datos:

(a) El Software permite a cada Usuario autorizado exportar los datos que conservamos de su Cuenta, incluidos los registros de notificaciones push y los registros de archivos enviados a soporte (Configuración › General › Cuenta › «Exportar datos»); quitar un Buzón conectado; retirar el consentimiento de IA y cambiar la Configuración de región (Configuración › Privacidad e IA); y eliminar la Cuenta.

(b) Si un interesado se pone en contacto directamente con nosotros sobre Datos personales del Cliente y podemos identificarle a usted como el responsable del tratamiento, le remitimos la solicitud sin dilación indebida. No la respondemos nosotros mismos, salvo para indicar al interesado que se dirija a usted o cuando la ley exija otra cosa.

(c) Le prestamos, previa solicitud, asistencia razonable adicional.

8.2 Seguridad, violaciones de la seguridad, evaluaciones de impacto y consulta. Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, le asistimos en el cumplimiento de los artículos 32 a 36 del RGPD. En particular, facilitamos este Acuerdo y sus Anexos, el Aviso sobre las funciones de IA y, previa solicitud, más información sobre el tratamiento en las Funciones de IA que usted necesite para una evaluación de impacto relativa a la protección de datos o para una consulta previa ante una autoridad de control.

8.3 Costes. Las funciones de autoservicio y la asistencia descritas en este Acuerdo están incluidas en el Servicio. Por la asistencia que exceda de lo anterior y no se deba a un incumplimiento de este Acuerdo por nuestra parte, podemos cobrar costes razonables, siempre que se lo comuniquemos con antelación.

8.4 Autoridades y registros. Cooperamos con las autoridades de control en el desempeño de sus funciones cuando lo soliciten. Llevamos un registro de las actividades de tratamiento tal como exige el artículo 30, apartado 2, del RGPD.

8.5 Contacto de protección de datos. Nuestro contacto de protección de datos es legal@mailistix.com.

9. Violaciones de la seguridad de los datos personales

9.1 Notificación. Le notificamos sin dilación indebida tras haber tenido conocimiento de una Violación de la seguridad de los datos personales. Procuramos notificársela en un plazo de 48 horas.

9.2 Contenido. La notificación incluye, en la medida en que se disponga de la información:

(a) una descripción de la naturaleza de la violación, incluidos, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos personales afectados;

(b) el nombre y los datos de contacto de nuestro punto de contacto para obtener más información;

(c) las posibles consecuencias de la violación; y

(d) las medidas que hemos adoptado o proponemos adoptar para poner remedio a la violación y mitigar sus posibles efectos negativos.

Si no podemos facilitar toda la información al mismo tiempo, la facilitamos por fases, sin más dilación indebida.

9.3 Nuestras medidas. Adoptamos medidas razonables, sin dilación indebida, para contener e investigar la violación, mitigar sus efectos y evitar que se repita. Documentamos la violación y le mantenemos informado.

9.4 Cómo notificamos. Enviamos la notificación por correo electrónico a las direcciones de correo electrónico de la Cuenta de los Usuarios autorizados afectados y al contacto de protección de datos que usted nos haya facilitado conforme a la Sección 17.6.

9.5 Sus obligaciones. Usted decide si la violación debe notificarse a una autoridad de control o a los interesados, y realiza esas notificaciones. Nosotros no las realizamos en su nombre salvo que usted nos dé instrucciones en tal sentido o la ley lo exija.

9.6 Sin reconocimiento de culpa. Nuestra notificación no es un reconocimiento de culpa ni de responsabilidad.

9.7 Comunicaciones dirigidas a nosotros. Le rogamos que nos comunique los presuntos incidentes de seguridad relacionados con el Servicio en legal@mailistix.com, con un asunto que empiece por «Security:», tal como se describe en nuestra Política de divulgación de vulnerabilidades.

10. Supresión y devolución

10.1 Durante la vigencia. Conservamos los Datos personales del Cliente en los Servicios en la nube únicamente durante el tiempo que indique el Anexo 1, Parte H. Tareas automatizadas diarias suprimen los registros cuyo plazo de conservación ha finalizado.

10.2 Eliminación de la Cuenta. Un Usuario autorizado puede eliminar su Cuenta en el Software en cualquier momento (Configuración › General › Cuenta › «Eliminar cuenta»); la Sección 15.3 de los Términos describe cuándo se rechaza la eliminación (por ejemplo, mientras una suscripción todavía pueda generar cargos). La eliminación suprime de los Servicios en la nube los Datos personales del Cliente de esa Cuenta. En el dispositivo utilizado para la eliminación, el Software también detiene las notificaciones push, revoca su acceso a los buzones de Google conectados y borra los datos locales de esa Cuenta. También puede pedirnos por escrito que eliminemos las Cuentas de sus Usuarios autorizados; lo hacemos tras verificar que usted está facultado para ello.

10.3 Fin de los Términos respecto de una Cuenta. Al finalizar la prestación del Servicio respecto de una Cuenta, devolvemos o suprimimos los Datos personales del Cliente de esa Cuenta, a su elección (artículo 28, apartado 3, letra g), del RGPD), del siguiente modo (Sección 15.10 de los Términos):

(a) Devolución. Usted obtiene una copia mediante la exportación en el Software (Sección 8.1(a)), que un Usuario autorizado puede ejecutar en cualquier momento mientras exista la Cuenta. La exportación y la supresión son gratuitas.

(b) Periodo de recuperación de datos. Una vez finalizados los Términos respecto de una Cuenta, sea cual sea el motivo, los Datos personales del Cliente de esa Cuenta permanecen disponibles para su recuperación durante 30 días (el periodo de recuperación de datos conforme a la Sección 15.10(d) de los Términos y al artículo 25, apartado 2, letra g), del Reglamento de Datos). Durante ese periodo, la Cuenta se mantiene y el Usuario autorizado puede iniciar sesión para exportar los datos; si ello no es posible, le enviamos la exportación previa solicitud dirigida a legal@mailistix.com. Al final del periodo, suprimimos de los Servicios en la nube los Datos personales del Cliente de esa Cuenta, salvo que el Derecho de la UE o de un Estado miembro nos exija conservarlos. Los plazos de conservación del Anexo 1, Parte H, siguen aplicándose durante ese periodo.

(c) Supresión inmediata. Si un Usuario autorizado elimina la Cuenta en el Software (Sección 10.2), o usted nos pide que la eliminemos, usted opta por la supresión inmediata en lugar de un periodo de recuperación de datos: suprimimos de inmediato los Datos personales del Cliente de esa Cuenta.

(d) Datos exportables. Respecto de los Datos personales del Cliente, el archivo de exportación contiene los registros de notificaciones de Gmail y de Outlook, los registros de suscripción a notificaciones (watch) de Gmail y de suscripción de Outlook, y los registros de los archivos enviados a soporte (por ejemplo, hora, versión de la aplicación y tamaño); facilitamos el contenido de los archivos enviados a soporte previa solicitud (Sección 15.10(b) de los Términos). Sus Datos del buzón permanecen a su disposición en su proveedor de buzón y en la base de datos local del Software en sus dispositivos; no conservamos ninguna copia que podamos devolver. Dado que no almacenamos el contenido de las solicitudes de IA ni del Resultado de la IA, no hay nada que devolver ni suprimir.

10.4 Copias de seguridad. La base de datos de los Servicios en la nube se copia automáticamente una vez al día. Cada copia de seguridad se conserva 7 días, y los Datos personales del Cliente que contenga una copia de seguridad se suprimen cuando esta caduca. Las copias de seguridad siguen protegidas conforme a este Acuerdo y solo se restauran en el sistema en producción para la recuperación tras un incidente; después de una restauración de este tipo, volvemos a aplicar las supresiones realizadas desde la copia de seguridad.

10.5 Subencargados. Nuestros Subencargados de IA pueden conservar los datos de las solicitudes durante un tiempo limitado con fines operativos o de supervisión de abusos, con arreglo a sus condiciones, tal como se describe en el Anexo 1, Parte H.

10.6 Confirmación. Previa solicitud, confirmamos la supresión por escrito.

11. Información y auditorías

11.1 Información. Ponemos a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este Acuerdo, en particular:

(a) este Acuerdo, sus Anexos y la página de Subencargados;

(b) respuestas a un cuestionario de seguridad razonable, una vez por año natural; y

(c) las certificaciones y los informes de auditoría de nuestros Subencargados, en la medida en que nos los faciliten para este fin.

11.2 Auditorías e inspecciones. Si la información conforme a la Sección 11.1 no es suficiente para demostrar nuestro cumplimiento, si una autoridad de control lo exige, o tras una Violación de la seguridad de los datos personales, usted puede auditar nuestro cumplimiento de este Acuerdo, incluidas inspecciones. Puede realizar la auditoría usted mismo o a través de un auditor independiente que esté obligado a guardar confidencialidad y que no sea competidor nuestro. Salvo que una autoridad de control exija otra cosa o que la auditoría se realice a raíz de una Violación de la seguridad de los datos personales:

(a) las auditorías se realizan como máximo una vez en cualquier periodo de 12 meses;

(b) usted nos da un preaviso por escrito de al menos 30 días y acuerda con nosotros de antemano el alcance y el plan de la auditoría; y

(c) las auditorías se realizan durante el horario laboral habitual y sin perturbar indebidamente nuestras operaciones.

Las auditorías no se extienden a los datos de otros clientes ni a nuestros secretos comerciales más allá de lo que exija la auditoría. No operamos centros de datos ni servidores propios. En lo que respecta a las instalaciones de nuestros Subencargados, la auditoría se basa en sus certificaciones y en sus informes de auditoría a los que se refiere la Sección 11.1(c).

11.3 Costes. Usted asume los costes propios de la auditoría y nos reembolsa los costes razonables y documentados que nos suponga prestar apoyo en una auditoría in situ, salvo que la auditoría ponga de manifiesto un incumplimiento sustancial de este Acuerdo por nuestra parte.

11.4 Resultados. Los resultados de la auditoría son confidenciales. Usted nos entrega una copia del informe de auditoría. Subsanamos sin dilación indebida cualquier incumplimiento detectado.

11.5 CCT. Cuando se apliquen las CCT, las auditorías previstas en su cláusula 8.9 se realizan conforme a esta Sección 11, en la medida en que ello sea compatible con las CCT.

12. Transferencias internacionales

12.1 Dónde tratamos los datos. Estamos establecidos en Alemania, un Estado miembro de la Unión Europea. Tanto nosotros como nuestros Subencargados tratamos los Datos personales del Cliente en la UE, con las excepciones siguientes (detalles en el Anexo 3):

(a) para los Usuarios autorizados que respondieron «Fuera de Europa», algunos modelos Gemini se ejecutan en el punto de conexión global de Google (Sección 4.3);

(b) los Subencargados establecidos fuera de la UE, o cuya sociedad matriz esté establecida fuera de la UE, pueden acceder a los Datos personales del Cliente desde fuera de la UE para fines de soporte y operaciones con arreglo a sus condiciones de tratamiento de datos; esto se aplica a nuestro socio contractual para el alojamiento, Supabase Pte. Ltd., en Singapur, y a su grupo, así como a las sociedades matrices estadounidenses de nuestros otros Subencargados;

(c) solo las funciones de servidor para solicitudes de IA están fijadas a regiones de la UE. Las demás funciones de servidor (por ejemplo, conexión de buzones, configuración y transmisión de notificaciones push, cancelación de la suscripción con un solo clic, envío de archivos a soporte y exportación de datos) se ejecutan en la región perimetral (edge) de Supabase más cercana a quien realiza la llamada. Por tanto, para los Usuarios autorizados fuera de Europa y para las notificaciones enviadas por Google o Microsoft, dichas funciones pueden ejecutarse fuera de la UE. La base de datos y el almacenamiento de archivos permanecen en Fráncfort; y

(d) las notificaciones de cambios de Gmail pasan por Google Cloud Pub/Sub, que no tiene una región de tratamiento fija.

12.2 Transferencias ulteriores por nuestra parte. Realizamos una Transferencia restringida únicamente conforme a sus instrucciones documentadas (este Acuerdo, el Anexo 3 y la Configuración de región) y solo si se cumplen las condiciones del capítulo V del RGPD y las normas equivalentes del RGPD del Reino Unido y de la Ley federal suiza de protección de datos. En el caso de nuestros Subencargados, nos basamos en:

(a) una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., su Extensión para el Reino Unido y el Marco de Privacidad de Datos Suiza-EE. UU. para los destinatarios certificados; o

(b) las CCT (Módulo 3) o cláusulas equivalentes en las condiciones de tratamiento de datos del Subencargado, junto con las medidas complementarias que, según nuestra evaluación del impacto de la transferencia, resulten necesarias. En el caso de Supabase, se trata de las CCT incluidas en la adenda de tratamiento de datos de Supabase, con Supabase Pte. Ltd. (Singapur) como importador de datos; las transferencias ulteriores a los propios subencargados de Supabase se rigen por dicha adenda.

12.3 Transferencias entre usted y nosotros. Que se apliquen o no las CCT entre usted y nosotros depende de dónde se encuentre usted:

(a) Usted está establecido en el EEE: el envío de datos a nosotros en la UE y su devolución a usted por nuestra parte no constituyen una Transferencia restringida. Las CCT no se aplican entre nosotros.

(b) Usted está establecido en el Reino Unido, en Suiza o en otro país con una decisión de adecuación de la Comisión Europea: el Derecho del Reino Unido y el suizo reconocen que el EEE ofrece una protección adecuada, y la UE reconoce igualmente al Reino Unido, a Suiza y a los demás países de que se trate. Las CCT no se aplican entre nosotros, salvo que se aplique la Sección 12.3(d).

(c) Usted está establecido en cualquier otro país: su envío de datos a nosotros no constituye una Transferencia restringida con arreglo al RGPD, pero sí lo es nuestro envío de vuelta a usted de Datos personales del Cliente (por ejemplo, el Resultado de la IA o una exportación). En este supuesto, se aplica el Módulo 4 (de encargado del tratamiento a responsable del tratamiento) de las CCT, con nosotros como exportador de datos y usted como importador de datos, también cuando usted actúe como encargado del tratamiento de otro responsable del tratamiento (Sección 2.3). Cuando su tratamiento de los datos esté a su vez sujeto al RGPD (artículo 3, apartado 2, del RGPD), las CCT se aplican en la medida en que puedan utilizarse para dicha transferencia, y usted sigue estando vinculado directamente por el RGPD.

(d) Nosotros tratamos datos fuera del EEE: si estamos, o pasamos a estar, establecidos en un tercer país sin decisión de adecuación, o tratamos allí nosotros mismos Datos personales del Cliente, se aplica el Módulo 2 (cuando usted es responsable del tratamiento) o el Módulo 3 (cuando usted es encargado del tratamiento) de las CCT, con usted como exportador de datos y nosotros como importador de datos.

12.4 CCT: incorporación y opciones. Cuando las CCT se apliquen conforme a la Sección 12.3, se incorporan a este Acuerdo por referencia, en el módulo que corresponda al caso, y usted y nosotros las suscribimos al celebrar este Acuerdo. La aceptación de los Términos equivale a la firma de las CCT y de sus Anexos. Se aplican las siguientes opciones y precisiones:

(a) Cláusula 7 (cláusula de incorporación): se aplica.

(b) Cláusula 9, letra a) (Módulos 2 y 3): Opción 2, autorización general por escrito; el plazo es de 14 días y la notificación se realiza conforme a la Sección 7.3.

(c) Cláusula 11, letra a): no se aplica el texto opcional.

(d) Cláusula 13, letra a) (Módulos 2 y 3): la autoridad de control competente se determina conforme a lo previsto en el Anexo 1, Parte J.

(e) Cláusula 17: para los Módulos 2 y 3, se aplica la Opción 1, y las CCT se rigen por el Derecho alemán. Para el Módulo 4, las CCT se rigen por el Derecho alemán.

(f) Cláusula 18: las controversias se resuelven ante los tribunales de Alemania, con fuero en nuestro domicilio social (Berlín, Alemania). La cláusula 18, letra c), de los Módulos 2 y 3 queda a salvo.

(g) El Anexo I.A (lista de partes) corresponde al Anexo 1, Parte A; el Anexo I.B (descripción de la transferencia), al Anexo 1; el Anexo I.C (autoridad de control competente), al Anexo 1, Parte J; el Anexo II (medidas técnicas y organizativas), al Anexo 2; y el Anexo III (lista de subencargados), al Anexo 3.

(h) La certificación de la supresión prevista en la cláusula 8.5 se facilita previa solicitud con arreglo a la Sección 10.6; las auditorías previstas en la cláusula 8.9 se rigen por la Sección 11.

12.5 Transferencias del Reino Unido. Cuando una transferencia de Datos personales del Cliente entre usted y nosotros sea una Transferencia restringida con arreglo al RGPD del Reino Unido, la Adenda del Reino Unido se incorpora a este Acuerdo y se aplica a las CCT incorporadas conforme a la Sección 12.4. Sus Tablas se cumplimentan del siguiente modo:

(a) Tabla 1 (Partes): las partes, sus datos y sus contactos tal como figuran en el Anexo 1, Parte A; la fecha de inicio es la fecha en que este Acuerdo adquirió carácter vinculante entre nosotros.

(b) Tabla 2 (CCT seleccionadas, módulos y cláusulas seleccionadas): la versión de las CCT de la UE aprobadas (Approved EU SCCs) incorporada conforme a la Sección 12.4, incluida la información del apéndice, con los módulos y las opciones allí seleccionados.

(c) Tabla 3 (Información del apéndice): la lista de partes corresponde al Anexo 1, Parte A; la descripción de la transferencia, al Anexo 1; las medidas técnicas y organizativas, al Anexo 2; y la lista de subencargados, al Anexo 3.

(d) Tabla 4 (Terminación de esta Adenda cuando cambie la Adenda aprobada): el Importador puede poner fin a la Adenda del Reino Unido.

Se aplica la Parte 2 de la Adenda del Reino Unido, es decir, las Cláusulas obligatorias de la Adenda aprobada (Approved Addendum, plantilla de adenda B1.0 emitida por el Information Commissioner y presentada al Parlamento con arreglo a la sección 119A de la Data Protection Act 2018, tal como se haya revisado conforme a la Sección 18 de dichas Cláusulas obligatorias).

12.6 Transferencias de Suiza. Cuando una transferencia esté sujeta a la Ley federal suiza de protección de datos:

(a) las referencias al RGPD en las CCT se entienden hechas a la Ley federal suiza de protección de datos, en la medida en que la transferencia esté sujeta a esta;

(b) el Comisionado Federal de Protección de Datos y de Información (FDPIC) es la autoridad de control competente conforme a la cláusula 13 para las transferencias sujetas a la Ley federal suiza de protección de datos; cuando una transferencia esté sujeta tanto a la Ley federal suiza de protección de datos como al RGPD, la autoridad indicada en el Anexo 1, Parte J, sigue siendo competente para la parte regida por el RGPD;

(c) el Derecho aplicable con arreglo a la cláusula 17 sigue siendo el elegido en la Sección 12.4(e); y

(d) el término «Estado miembro» de la cláusula 18, letra c), no debe interpretarse de modo que excluya a los interesados en Suiza de la posibilidad de demandar en defensa de sus derechos en su lugar de residencia habitual, Suiza.

12.7 Cambios en los mecanismos de transferencia. Si un mecanismo de transferencia en el que nos amparamos con arreglo a esta Sección 12 se invalida, se modifica o se sustituye, cooperamos con usted para establecer un mecanismo lícito alternativo. Podemos actualizar esta Sección 12 para incorporar una nueva versión de las CCT o de la Adenda del Reino Unido, mediante notificación a usted; la actualización surte efecto cuando lo exija la ley.

13. Solicitudes de las autoridades públicas

13.1 Comunicamos Datos personales del Cliente a una autoridad pública únicamente cuando una orden vinculante nos obliga legalmente a hacerlo. No los comunicamos de forma voluntaria y no hemos habilitado ningún medio que permita a las autoridades acceder a ellos directamente.

13.2 Si recibimos una orden de este tipo:

(a) intentamos redirigir a la autoridad para que solicite los datos directamente a usted;

(b) se lo notificamos con prontitud, salvo que la ley lo prohíba; en tal caso, hacemos esfuerzos razonables para obtener la dispensa de dicha prohibición a fin de poder informarle lo antes posible;

(c) revisamos la legalidad de la orden y la impugnamos si, tras una evaluación cuidadosa, concluimos que existen motivos razonables para considerar que es ilícita con arreglo al Derecho del país de que se trate, a las obligaciones aplicables en virtud del Derecho internacional o a los principios de cortesía internacional, inclusive mediante la solicitud de medidas provisionales cuando proceda, y no comunicamos los datos hasta que las normas procesales aplicables nos lo exijan;

(d) comunicamos únicamente la cantidad mínima de datos que exija la orden, sobre la base de una interpretación razonable de esta; y

(e) documentamos la orden, nuestra evaluación y nuestra respuesta, y ponemos esta documentación a su disposición, previa solicitud, cuando la ley lo permita.

13.3 Solo podemos comunicar lo que conservamos (Anexo 1, Parte H). No conservamos sus Datos del buzón ni la copia local en el Software, y no almacenamos el contenido de las solicitudes de IA ni del Resultado de la IA.

13.4 En el momento de la publicación de este Acuerdo, no hemos recibido ninguna orden ni solicitud de una autoridad pública relativa a Datos personales del Cliente, y no tenemos motivos para creer que las leyes que nos son aplicables nos impidan cumplir las obligaciones que nos incumben en virtud de este Acuerdo.

13.5 Datos no personales (artículo 32 del Reglamento de Datos). Las Secciones 13.1 a 13.3 se aplican igualmente a los datos no personales del Contenido del Cliente que conservamos en los Servicios en la nube en la UE. Solo damos acceso a dichos datos a un órgano jurisdiccional o a una autoridad de un país no perteneciente a la UE, o se los transferimos, en las condiciones del artículo 32, apartados 2 y 3, del Reglamento de Datos, y en tal caso facilitamos únicamente la cantidad mínima de datos admisible, sobre la base de una interpretación razonable de la solicitud. Le informamos de dicha solicitud antes de atenderla, salvo que la solicitud tenga por finalidad hacer cumplir la ley y durante el tiempo que sea necesario para preservar la eficacia de dicha actividad.

13.6 Información conforme al artículo 28, apartado 1, del Reglamento de Datos. La Sección 4 de nuestra página de Subencargados (parte del Anexo 3) indica la jurisdicción a la que está sujeta la infraestructura de TIC de los Servicios en la nube y las medidas que adoptamos contra el acceso gubernamental internacional ilícito; esta Sección 13 y el Anexo 2 describen esas medidas en detalle.

14. Sus obligaciones

14.1 Licitud. Usted es responsable de la licitud del tratamiento de los Datos personales del Cliente. Esa responsabilidad incluye contar con una base jurídica para utilizar las Funciones de IA con los correos electrónicos de sus interlocutores y de otros terceros, e informar a los interesados cuando la Normativa de protección de datos lo exija.

14.2 Categorías especiales y datos sobre infracciones penales. El Servicio no está diseñado para tratar categorías especiales de datos personales (artículo 9 del RGPD) ni datos personales relativos a condenas e infracciones penales (artículo 10 del RGPD), y no tratamos esos datos intencionadamente. No obstante, pueden aparecer en los correos electrónicos que las Funciones de IA tratan. Usted decide si sus Usuarios autorizados pueden utilizar las Funciones de IA con ese contenido, y vela por que exista una base jurídica para ello (véase la Política de uso aceptable).

14.3 Sus usuarios y su configuración. Usted se asegura de que:

(a) sus Usuarios autorizados utilicen el Servicio conforme a sus instrucciones y a este Acuerdo, incluidas la Configuración de región (Sección 4.3) y la decisión de activar las Funciones de IA;

(b) se haya obtenido cualquier consentimiento o intervención de los representantes de los trabajadores que su uso del Servicio requiera;

(c) se haya otorgado cualquier consentimiento de administrador que exija su proveedor de buzón; y

(d) usted cumpla las obligaciones de secreto profesional que le sean aplicables.

14.4 Irregularidades. Usted nos informa sin dilación indebida si observa errores o irregularidades en el tratamiento de los Datos personales del Cliente.

15. Responsabilidad

15.1 Nuestra responsabilidad derivada de este Acuerdo o relacionada con él, incluidas las CCT en la medida en que estas lo permitan, está sujeta a las exclusiones y limitaciones de responsabilidad de los Términos (Parte II, Sección A.1 o, cuando sean aplicables, Secciones 16 y 17 de la Parte I), en la medida en que lo permitan el artículo 82 del RGPD y las demás disposiciones legales aplicables. Su responsabilidad se rige por las disposiciones legales.

15.2 La Sección 15.1 no limita:

(a) la responsabilidad de cualquiera de las partes frente a los interesados, incluida la derivada del artículo 82 del RGPD, de las disposiciones equivalentes de la restante Normativa de protección de datos y de los derechos de los terceros beneficiarios con arreglo a las CCT; ni

(b) ninguna responsabilidad que no pueda limitarse ni excluirse conforme a la ley aplicable.

15.3 Entre las partes, y dentro de los límites de la Sección 15.1, cada una soporta la parte de cualquier indemnización abonada a un interesado que corresponda a su parte de responsabilidad en el daño (artículo 82, apartado 5, del RGPD).

16. Leyes estatales de privacidad de los EE. UU.

16.1 Cuando la California Consumer Privacy Act (modificada por la California Privacy Rights Act) o una ley estatal de privacidad comparable de los EE. UU. se aplique a los Datos personales del Cliente, actuamos como su «service provider» o «processor». Nosotros:

(a) no vendemos ni compartimos Datos personales del Cliente, en el sentido que esas leyes dan a estos términos;

(b) no conservamos, utilizamos ni comunicamos Datos personales del Cliente para ninguna finalidad, incluida cualquier finalidad comercial, distinta de las finalidades empresariales especificadas en los Términos y en este Acuerdo, ni fuera de la relación empresarial directa entre usted y nosotros;

(c) no combinamos los Datos personales del Cliente con información personal que recibimos de terceros o por cuenta de terceros, o que recabamos de nuestras propias interacciones con consumidores, salvo en la medida en que esas leyes lo permitan;

(d) cumplimos las obligaciones de esas leyes que nos sean aplicables y ofrecemos el mismo nivel de protección de la privacidad que exigen; y

(e) le notificamos si determinamos que ya no podemos cumplir nuestras obligaciones conforme a esas leyes.

16.2 Usted puede adoptar medidas razonables y adecuadas, conforme a las Secciones 9 y 11, para asegurarse de que utilizamos los Datos personales del Cliente conforme a esas leyes y para detener y remediar cualquier uso no autorizado. Certificamos que comprendemos las restricciones de esta Sección 16 y que las cumpliremos.

17. Duración y disposiciones generales

17.1 Duración. Este Acuerdo se aplica mientras los Términos estén en vigor para cualquiera de sus Cuentas y, después, mientras tratemos Datos personales del Cliente por cuenta suya. No se puede poner fin a este Acuerdo con independencia de los Términos. Las Secciones 5, 10, 13 y 15 siguen en vigor tras su terminación.

17.2 Cambios. Podemos modificar este Acuerdo con arreglo a las normas sobre modificaciones de los Términos (Secciones 19.3 y 19.6 de los Términos), en particular para reflejar cambios en la Normativa de protección de datos, decisiones de autoridades o tribunales, nuevas versiones de las CCT o de la Adenda del Reino Unido, o cambios en el Servicio. Una nueva versión de este Acuerdo recibe un nuevo número de versión, y el Software pide a sus Usuarios autorizados que la acepten (Sección 1.1 y Sección 1.8(b) de los Términos). Un cambio que reduzca la protección de los Datos personales del Cliente surte efecto para usted únicamente si lo acepta. Los cambios exigidos por la ley surten efecto cuando lo exija la ley. Los cambios de Subencargados se rigen, en cambio, por la Sección 7.

17.3 Divisibilidad. Si una disposición de este Acuerdo es o pasa a ser inválida o inejecutable, las demás disposiciones permanecen en vigor; se aplica la Sección 23.3 de los Términos.

17.4 Ley aplicable y fuero. Este Acuerdo se rige por el Derecho de la República Federal de Alemania, también cuando los Términos se rijan por otra ley, porque el artículo 28, apartado 3, del RGPD exige un contrato con arreglo al Derecho de la Unión o de un Estado miembro. Se aplican las disposiciones de los Términos sobre fuero y resolución de controversias, salvo que las CCT o la Normativa de protección de datos exijan otra cosa.

17.5 Idioma. La versión en inglés de este Acuerdo es la original. Las traducciones se facilitan por comodidad. Cuando las normas imperativas de su país exijan que prevalezca la versión en su idioma, prevalece esta.

17.6 Notificaciones. Enviamos las notificaciones previstas en este Acuerdo por correo electrónico a las direcciones de correo electrónico de las Cuentas de sus Usuarios autorizados y, si usted nos ha facilitado uno, a su contacto de protección de datos. Envíenos sus notificaciones a legal@mailistix.com. Puede facilitarnos o cambiar su contacto de protección de datos en esa dirección en cualquier momento.

Firma (solo para las copias firmadas previa solicitud conforme a la Sección 1.1)

Anexo 1 — Descripción del tratamiento

Este Anexo describe el tratamiento con arreglo al artículo 28, apartado 3, del RGPD y sirve como Anexo I de las CCT cuando estas se apliquen.

Parte A — Partes

Parte B — Categorías de interesados

• Usuarios autorizados: sus empleados, colaboradores y otras personas que utilizan el Servicio con Cuentas para los fines de su empresa, incluidos los titulares de Buzones conectados.
• Interlocutores: remitentes y destinatarios (Para, CC) de los correos electrónicos tratados, y otros participantes en las conversaciones de correo electrónico de que se trate.
• Personas nombradas o identificables de otro modo en el texto de los correos electrónicos, en los asuntos, en las firmas, en los nombres de los archivos adjuntos, en los pasajes de texto de los archivos adjuntos y en los enlaces.
• Organizadores y asistentes de reuniones para las que se solicita un resumen previo, y personas nombradas en la invitación.
• Contactos cuyos nombres y direcciones de correo electrónico se envían con una pregunta a Ask AI como los interlocutores más frecuentes del Usuario autorizado, o cuyas preferencias de idioma y de formalidad se envían con una solicitud de borrador.

Parte C — Categorías de datos personales

Las solicitudes de borrador y de reescritura contienen además el nombre, la dirección de correo electrónico y la zona horaria del Usuario autorizado que las inicia; las solicitudes de Ask AI y de resumen previo de reuniones contienen la fecha actual y la zona horaria del Usuario autorizado.

Los modelos de los proveedores enumerados en el Anexo 3 que se utilizan pueden cambiar, también con fines de comparación de calidad. Dichos cambios se mantienen siempre dentro de los Subencargados y de las regiones de tratamiento establecidos en el Anexo 3 y dentro de la Configuración de región del Usuario autorizado.

Parte D — Categorías especiales de datos personales y datos sobre infracciones penales

El Servicio no trata intencionadamente categorías especiales de datos personales ni datos relativos a condenas e infracciones penales. Dichos datos pueden aparecer de forma incidental en el contenido de correos electrónicos, archivos adjuntos o reuniones que un Usuario autorizado envía a una Función de IA (Sección 14.2). Se aplican las siguientes garantías a todos los Datos personales del Cliente, incluidos esos datos: tratamiento únicamente cuando un Usuario autorizado inicia una función; sin almacenamiento del contenido de las solicitudes de IA ni del Resultado de la IA; sin uso para entrenamiento; sin revisión humana salvo en los casos previstos en la Sección 5.2; cifrado en tránsito; tratamiento en la UE para los Usuarios autorizados cuya Configuración de región sea «En Europa» o que no hayan respondido; y las medidas del Anexo 2.

Parte E — Naturaleza del tratamiento

Recepción de la solicitud desde el Software; composición de la instrucción (prompt) en el servidor a partir de los datos que necesita la función; transmisión a un modelo de IA de un Subencargado y devolución del Resultado al Software (en flujo continuo cuando la función lo admita); retransmisión de intercambios OAuth y de solicitudes de cancelación de la suscripción con un solo clic; recepción, almacenamiento durante un breve periodo y reenvío de notificaciones push; almacenamiento de archivos enviados a soporte; supresión de todo ello según el calendario previsto.

Parte F — Fines

Prestarle el Servicio, a saber: generar el Resultado de la IA que solicita un Usuario autorizado; conectar Buzones conectados; informar al Software en tiempo real del correo nuevo o modificado; cancelar la suscripción a boletines sin revelar al remitente la dirección IP del Usuario autorizado; y atender las solicitudes de soporte.

Parte G — Duración y frecuencia

El tratamiento se prolonga durante la vigencia de este Acuerdo (Sección 17.1), más los plazos de supresión de la Parte H. Se realiza de forma continua, cada vez que un Usuario autorizado inicia una función o cambia un Buzón conectado.

Parte H — Conservación

A título informativo: los metadatos de uso de las solicitudes de IA (sin contenido) se conservan durante 180 días, y los registros de eventos de seguridad durante 180 días. Los tratamos como responsable del tratamiento independiente (Sección 2.4).

Parte I — Lugares de tratamiento

• Base de datos y almacenamiento de archivos de los Servicios en la nube: Fráncfort, Alemania (Amazon Web Services, operado por Supabase). Supabase Pte. Ltd. (Singapur) y su grupo de empresas pueden acceder a ellos para tareas de soporte y de operación (Sección 12.1(b)).
• Funciones de servidor para solicitudes de IA: solo regiones perimetrales (edge) de la UE de Supabase; Fráncfort de forma predeterminada, y la configuración admite únicamente Fráncfort, Irlanda y París.
• Modelos de IA: Microsoft Azure OpenAI en la EU Data Zone; Google Vertex AI en la multirregión de la UE; para los Usuarios autorizados que respondieron «Fuera de Europa», algunos modelos Gemini en el punto de conexión global de Google.
• Notificaciones de Gmail: Google Cloud Pub/Sub (infraestructura global de Google, sin región fija).
• Correos de soporte y mensajes del formulario de contacto: Microsoft 365, EU Data Boundary; los mensajes del formulario de contacto pasan por la red de Cloudflare.
• Otras funciones de servidor: la región perimetral (edge) de Supabase más cercana a quien realiza la llamada, que puede estar fuera de la UE (Sección 12.1(c)).

Parte J — Autoridad de control competente

• Para los Módulos 2 y 3 (cláusula 13): (i) si usted está establecido en un Estado miembro de la UE, la autoridad de control competente para usted en ese Estado; (ii) si usted no está establecido en la UE pero está sujeto al RGPD con arreglo al artículo 3, apartado 2, y ha designado un representante con arreglo al artículo 27, apartado 1, la autoridad de control del Estado miembro en el que esté establecido su representante; (iii) si usted no está establecido en la UE, está sujeto al RGPD con arreglo al artículo 3, apartado 2, y no necesita designar un representante (artículo 27, apartado 2), la Comisionada de Berlín para la Protección de Datos y la Libertad de Información (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany, como autoridad de un Estado miembro en el que se encuentran los interesados afectados.
• Para las transferencias sujetas al RGPD del Reino Unido: la Information Commissioner's Office. Para las transferencias sujetas a la Ley federal suiza de protección de datos: el FDPIC (Sección 12.6).
• Nuestra propia autoridad de control: la Comisionada de Berlín para la Protección de Datos y la Libertad de Información (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany.

Anexo 2 — Medidas técnicas y organizativas

Este Anexo describe las medidas adoptadas conforme al artículo 32 del RGPD, estructuradas según los epígrafes del artículo 32 del RGPD y de la norma ISO/IEC 27001. La Parte A abarca los Servicios en la nube, que son de nuestra responsabilidad. La Parte B describe las funciones de seguridad del Software, que se ejecuta bajo su control (Sección 3). Este Anexo describe únicamente medidas que ya están implantadas.

Parte A — Servicios en la nube

A.1 Gobernanza y personal

• Responsabilidad de la seguridad de la información y de la protección de datos: Marvin Muvunyi (gerente). Contacto de protección de datos: legal@mailistix.com.
• Políticas internas sobre conservación y supresión y sobre respuesta a incidentes y notificación de violaciones de la seguridad de los datos personales, revisadas al menos una vez al año.
• Las personas con acceso a los Datos personales del Cliente están sujetas a una obligación de confidencialidad (Sección 5) y se les instruye en materia de protección de datos y de seguridad. El acceso termina cuando deja de ser necesario.
• No existe una interfaz de administración de la aplicación. La administración se realiza únicamente en las consolas de nuestros proveedores (Supabase, Google Cloud, Microsoft Azure y Entra, Polar, GitHub, Cloudflare). El acceso a ellas está limitado a nuestro gerente.

A.2 Control de acceso físico

• No operamos centros de datos ni servidores propios. Los Servicios en la nube se ejecutan en centros de datos de Supabase (en Amazon Web Services), Google y Microsoft, cuya seguridad física está certificada conforme a normas reconocidas como ISO/IEC 27001 y SOC 2.
• Los dispositivos utilizados para la administración tienen cifrado de disco completo, bloqueo automático de pantalla y un sistema operativo que cuenta con soporte del fabricante.

A.3 Control de acceso a los sistemas (autenticación)

Para los Usuarios autorizados (Supabase Auth):

• Sin contraseñas: el registro y el inicio de sesión se hacen únicamente con un código de un solo uso de 6 dígitos enviado a la dirección de correo electrónico de la Cuenta, válido durante 15 minutos y utilizable una sola vez, generado a partir de una fuente aleatoria criptográficamente segura; el código también confirma la dirección de correo electrónico.
• Límites de frecuencia por dirección IP para el inicio de sesión, el registro y la verificación de códigos, y un límite al número de correos de la cuenta.
• Sesiones: tokens de acceso válidos durante 1 hora; los tokens de actualización rotan; una sesión termina tras 90 días sin uso. Cerrar sesión revoca todos los tokens de actualización del usuario.
• La eliminación de una Cuenta requiere un código de un solo uso enviado a la dirección de correo electrónico de la Cuenta, introducido en los últimos 10 minutos, y una confirmación escrita. Un cambio de dirección de correo electrónico debe confirmarse desde ambas direcciones.
• Sin cuentas predeterminadas ni claves estáticas de administrador en ninguna interfaz expuesta.
• El acceso al buzón utiliza el flujo de código de autorización OAuth 2.0 con PKCE (S256) en el navegador del sistema. El valor de estado (state) es aleatorio, de un solo uso y válido durante 10 minutos. Los secretos de cliente existen únicamente en el servidor.

Para los administradores:

• La administración se realiza únicamente en las consolas de los proveedores indicadas en A.1, mediante cuentas personales de nuestro gerente; no hay cuentas de administrador compartidas.
• Las funciones privilegiadas de la base de datos, como eliminar una Cuenta a solicitud o ampliar una prueba, solo puede ejecutarlas el rol de propietario de la base de datos en la consola del proveedor, no a través de la API de los Servicios en la nube.

A.4 Control de acceso a los datos (autorización)

• La seguridad a nivel de fila (row-level security) está activada en todas las tablas del esquema público de la base de datos; las políticas comparan el usuario de cada registro con el usuario autenticado. La única tabla compartida es una tabla de solo lectura con los límites de los Planes.
• El rol anónimo no tiene privilegios sobre ninguna tabla. El rol autenticado solo tiene los privilegios que respalda una política. Los privilegios de la base de datos se comparan con una instantánea revisada después de cada migración de la base de datos.
• Todas las funciones privilegiadas de la base de datos (SECURITY DEFINER) utilizan una ruta de búsqueda vacía; las que los usuarios pueden invocar obtienen el usuario del token verificado.
• Las funciones de servidor verifican el token de acceso y resuelven el usuario mediante Supabase Auth. Nunca toman un identificador de usuario de la solicitud, limitan cada consulta a ese usuario y, ante un fallo, deniegan el acceso (fail closed).
• Los webhooks determinan el propietario del buzón a partir de registros del lado del servidor escritos bajo el usuario autenticado, nunca a partir del contenido de la notificación.
• Los archivos enviados a soporte se almacenan en un contenedor de almacenamiento privado y nunca se devuelven.
• Los secretos del lado del servidor se conservan en los secretos de las Edge Functions de Supabase y en Vault, no en el código fuente. El análisis de secretos abarca el código fuente y todo su historial. El paquete del Software contiene únicamente una configuración pública incluida en una lista de permitidos.

A.5 Control de separación

• Los registros de cada usuario se separan lógicamente mediante la seguridad a nivel de fila y consultas limitadas al usuario.
• Cada solicitud de IA se trata por separado; nada de ella se conserva en el servidor entre solicitudes.

A.6 Seudonimización y minimización de datos

• El contenido de las solicitudes de IA y el Resultado de la IA no se almacenan; el uso se registra como metadatos sin contenido.
• Las instrucciones (prompts) se componen en el servidor únicamente con los datos que necesita la función, dentro de límites de tamaño fijos (Anexo 1, Parte C).
• Los registros de las funciones de servidor contienen solo códigos y recuentos, sin tokens, direcciones ni contenido; nuestro proveedor de alojamiento los conserva hasta 90 días.
• Las notificaciones push no llevan contenido de correo electrónico. Los enlaces de cancelación de la suscripción no se registran ni se almacenan.
• Los secretos de webhook por suscripción se almacenan únicamente como hashes SHA-256.
• Los registros de eventos de seguridad pierden el identificador de usuario cuando se elimina la Cuenta.
• La telemetría opcional utiliza un identificador seudónimo aleatorio y nunca contiene contenido de correo electrónico ni textos de IA.

A.7 Cifrado

• En tránsito: TLS 1.2 o 1.3 en todas las conexiones entre el Software, los Servicios en la nube, nuestros Subencargados y los proveedores de buzón. No hay ninguna comprobación de certificados desactivada, y las compilaciones de producción del Software rechazan los parámetros (switches) que debilitan TLS. Los puntos de conexión de la API utilizan HSTS.
• En reposo: la base de datos y el almacenamiento de archivos están cifrados por Supabase (AES-256); los secretos del lado del servidor están cifrados en reposo por la plataforma.

A.8 Control de la transferencia

• Las solicitudes de IA se ejecutan únicamente en regiones perimetrales (edge) de la UE de Supabase; las funciones de servidor se niegan a tratar solicitudes de IA en cualquier otra región.
• Los proveedores de IA se invocan únicamente en puntos de conexión fijos. Microsoft Azure OpenAI se invoca con el almacenamiento de respuestas desactivado.
• Los webhooks están autenticados: Polar mediante HMAC-SHA256 sobre el cuerpo sin procesar con comparación en tiempo constante y marcas de tiempo con una antigüedad máxima de 5 minutos; Google Pub/Sub mediante un token OIDC firmado por Google, cuyo emisor, audiencia, cuenta de servicio fijada y vigencia (máximo de 1 hora) se comprueban; Microsoft Graph mediante un secreto aleatorio de 256 bits por suscripción. Se limita el tamaño del cuerpo de las solicitudes.
• Las solicitudes de origen cruzado (cross-origin) están restringidas por una lista de permitidos, sin credenciales.
• Las solicitudes de cancelación de la suscripción con un solo clic van únicamente a direcciones HTTPS que se resuelven en direcciones IP públicas, sin cookies, credenciales ni cabecera referrer, y no se siguen las redirecciones.
• Los Datos personales del Cliente se transmiten únicamente a los Subencargados enumerados en el Anexo 3.

A.9 Control de la introducción (registro)

• Un registro de eventos de seguridad anota eventos como un buzón conectado o una conexión fallida, una prueba ampliada por un administrador o una respuesta de IA retenida por el control antifiltraciones (leak guard), con hora, resultado y código (180 días).
• Los registros de uso de IA contienen función, modelo, estado, tokens, Créditos y hora, sin contenido (180 días).
• Los registros del Software y de las funciones de servidor pasan por un enmascaramiento centralizado de credenciales, tokens y contenido de correo electrónico.
• Las acciones administrativas en Google Cloud las registra Google (registros de auditoría de actividad de administrador).

A.10 Disponibilidad y resiliencia

• Los Servicios en la nube se ejecutan en infraestructura gestionada (Supabase en Amazon Web Services, Fráncfort).
• Copias de seguridad: una copia diaria de la base de datos de los Servicios en la nube, conservada 7 días (Sección 10.4); tras una restauración, se vuelven a aplicar las supresiones realizadas desde la copia de seguridad. Los Datos personales del Cliente en los Servicios en la nube se conservan por periodos breves (Anexo 1, Parte H), y los Datos del buzón no dependen de los Servicios en la nube.
• Las solicitudes de IA utilizan cadenas de respaldo entre Microsoft Azure OpenAI y Google Vertex AI, y un cortacircuitos (circuit breaker) para los proveedores que fallan, de modo que la caída de un proveedor no detenga las Funciones de IA.
• Los límites de frecuencia y un límite diario de gasto de IA por usuario protegen frente a la sobrecarga y el abuso.
• Los Datos del buzón siguen disponibles en el proveedor de buzón con independencia de los Servicios en la nube.
• Los errores de las funciones de servidor se notifican a Sentry (región de la UE) como códigos de error, sin contenido; una alarma sobre una respuesta de IA retenida lleva además un hash del identificador de usuario.

A.11 Gestión de incidentes

• Un procedimiento documentado de detección, contención, evaluación, notificación, recuperación y revisión de incidentes; notificación a los Clientes empresariales conforme a la Sección 9.
• Un canal público de comunicación de vulnerabilidades conforme a la Política de divulgación de vulnerabilidades.

A.12 Verificación, evaluación y valoración regulares

• Análisis estático del código del Software y de las funciones de servidor antes de su publicación.
• Conjuntos de pruebas automatizadas, incluidas pruebas de los límites de seguridad del Software y de las funciones de servidor; ejecuciones programadas de CI.
• Alertas automatizadas de dependencias y actualizaciones de seguridad; comprobaciones de vulnerabilidades de las dependencias de producción (npm audit, OSV); análisis de secretos.
• Comprobaciones de la configuración TLS de nuestros puntos de conexión.
• Revisión de este Anexo al menos una vez al año y después de cambios sustanciales.

A.13 Control del encargo (Subencargados)

• Los Subencargados se seleccionan por sus garantías de seguridad y de protección de datos y están vinculados por contratos conforme al artículo 28, apartado 4, del RGPD.
• Configuración que limita el tratamiento: regiones de la UE para las solicitudes de IA y modelos de IA (para la Configuración de región «En Europa» o sin respuesta), Azure OpenAI en la EU Data Zone, almacenamiento de respuestas desactivado, sin entrenamiento con arreglo a las condiciones de los proveedores.
• El personal actúa únicamente conforme a instrucciones; los Datos personales del Cliente no se utilizan para nuestros propios fines (Sección 4.6).

A.14 Protección de datos desde el diseño y por defecto

• Las Funciones de IA están desactivadas hasta que un Usuario autorizado las activa en un cuadro de diálogo de consentimiento, y pueden desactivarse en cualquier momento.
• La región predeterminada es la UE: sin una respuesta, el tratamiento de IA permanece en la UE.
• La telemetría y los informes de fallos, solo con consentimiento (opt-in).
• El Software nunca envía por sí mismo un correo electrónico ni una respuesta a una reunión; los borradores solo los envía el Usuario autorizado.
• Las imágenes remotas de los correos electrónicos se bloquean de forma predeterminada.
• Procesos automatizados de eliminación garantizan el cumplimiento de los plazos de conservación del Anexo 1, Parte H.

A.15 Garantías específicas de la IA

• El contenido del correo electrónico se transmite al modelo como datos marcados y no fiables; las instrucciones al modelo se conservan únicamente en el servidor.
• Un control antifiltraciones (leak guard) retiene las respuestas que reproducen instrucciones internas y registra el evento sin el texto de la respuesta.
• Los modelos no pueden realizar acciones: no pueden enviar, eliminar ni modificar nada en un buzón, y cada Resultado se muestra al Usuario autorizado.

Parte B — Funciones de seguridad del Software (bajo su control)

• La base de datos local de correo está cifrada con ChaCha20-Poly1305 (SQLite3MultipleCiphers) con una clave aleatoria de 256 bits, protegida por el almacén de credenciales del sistema operativo (macOS Keychain, Windows Data Protection API). El archivo de la clave solo es legible por el propietario. Las compilaciones de producción se niegan a abrir una base de datos sin cifrar.
• Los tokens del buzón y la sesión de Mailistix están cifrados con el almacén de credenciales del sistema operativo y no se conservan en el almacenamiento del navegador.
• Los archivos adjuntos abiertos se almacenan en caché cifrados (AES-256-GCM) durante un máximo de 7 días y 512 MiB; las copias temporales en texto plano se eliminan transcurridos 10 minutos. El registro local de soporte está cifrado y se conserva un máximo de 7 días.
• En la salida de los registros se enmascaran credenciales, tokens, direcciones y contenido de correo electrónico.
• El HTML del correo electrónico se sanea y se muestra en un marco aislado (sandbox) sin scripts, bajo una política de seguridad de contenido (Content Security Policy). Las imágenes remotas se bloquean de forma predeterminada. Las vistas previas de archivos adjuntos se ejecutan en un entorno aislado sin acceso a la red. El acceso a archivos se restringe a las propias carpetas del Software.
• El inicio de sesión en el buzón se realiza en el navegador del sistema, no en un navegador integrado.
• La compilación de macOS utiliza el entorno de ejecución reforzado (hardened runtime). Las actualizaciones se descargan por HTTPS y se instalan únicamente después de que el usuario lo confirme; se comprueba la firma del instalador de Windows.
• Quitar un Buzón conectado detiene sus notificaciones push, elimina su correo local y revoca el acceso a un buzón de Google. Eliminar la Cuenta borra los datos locales de esa Cuenta en el dispositivo.
• Su responsabilidad: la seguridad de los dispositivos y de las cuentas del sistema operativo, el cifrado de los dispositivos, el bloqueo de pantalla, las copias de seguridad y la eliminación de los datos locales cuando se retire un dispositivo.

Anexo 3 — Subencargados del tratamiento

Los Subencargados autorizados, con los datos que tratan, sus lugares de tratamiento y las garantías de transferencia, se enumeran en nuestra página de Subencargados. Esa página forma parte de este Anexo; las modificaciones se rigen por la Sección 7. La tabla siguiente resume los Subencargados que tratan Datos personales del Cliente. Los proveedores que tratan únicamente datos respecto de los cuales somos responsable del tratamiento independiente (por ejemplo, la analítica de producto opcional, los informes de errores de la aplicación y los correos de la cuenta) también figuran en esa página, pero no son Subencargados conforme a este Acuerdo.

Cada Subencargado recurre a sus propios subencargados (por ejemplo, Supabase utiliza Amazon Web Services), que enumera en su propia documentación.