Acuerdo de Tratamiento de Datos

Versión: 3.0  ·  En vigor desde: 5 de noviembre de 2026

Esta traducción se ofrece por comodidad. La versión oficial es la inglesa.

Este Acuerdo de Tratamiento de Datos («DPA») forma parte de las Condiciones del servicio de Plerdy («Condiciones») entre Plerdy y el cliente que usa el servicio de Plerdy («Cliente»). Establece cómo trata Plerdy los datos personales por cuenta del Cliente, tal como exigen el artículo 28 del Reglamento General de Protección de Datos 2016/679 de la UE («RGPD») y otras leyes de protección de datos aplicables.

1. Cómo se aplica este DPA

1.1. Este DPA se aplica automáticamente a todo Cliente que acepte las Condiciones, desde el momento de la aceptación. No se necesita firma. El artículo 28, apartado 9, del RGPD permite que el contrato conste en formato electrónico.

1.2. Este DPA es el mismo para todos los planes y métodos de pago: el plan gratuito, las suscripciones mensuales y anuales, las facturas y los paquetes de AppSumo. Abarca todos los sitios web conectados a la cuenta de Plerdy del Cliente.

1.3. Plerdy no negocia ni firma versiones individuales de este DPA. Previa solicitud a [email protected], Plerdy envía un PDF de este DPA firmado por Plerdy. La copia firmada tiene el mismo texto y el mismo efecto que esta página.

2. Papeles y definiciones

2.1. Respecto de los datos personales de los visitantes de los sitios web del Cliente recogidos por el código de Plerdy («Datos Personales del Cliente»), el Cliente es el responsable del tratamiento y Plerdy es el encargado del tratamiento. Respecto de los datos de la cuenta del Cliente, Plerdy es el responsable del tratamiento, como se describe en la Política de privacidad; este DPA no se aplica a esos datos.

2.2. «Plerdy» significa Andrii Chornyi, empresario individual (FOP), Ucrania. Términos como «responsable del tratamiento», «encargado del tratamiento», «datos personales», «tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el RGPD.

3. Instrucciones

3.1. Plerdy trata los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, también respecto de las transferencias a terceros países, salvo que la ley exija otra cosa. En ese caso, Plerdy informa al Cliente antes del tratamiento, salvo que la ley lo prohíba.

3.2. Las Condiciones, este DPA y los ajustes que el Cliente elige en su cuenta de Plerdy (por ejemplo, qué herramientas están activadas, el enmascaramiento, la conservación y las integraciones conectadas) son las instrucciones completas del Cliente. Cualquier otra instrucción debe enviarse por escrito a [email protected]. Si una instrucción no puede cumplirse, Plerdy se lo comunica al Cliente, que puede dejar de usar el servicio.

3.3. Plerdy informa al Cliente si, en su opinión, una instrucción infringe la legislación de protección de datos.

3.4. El Cliente es responsable de la licitud del tratamiento, incluido informar a los visitantes y obtener su consentimiento cuando la ley lo exija.

4. Confidencialidad

Plerdy da acceso a los Datos Personales del Cliente únicamente a las personas que lo necesitan para prestar, soportar y proteger el servicio. Todas ellas están sujetas a un deber de confidencialidad.

5. Seguridad

Plerdy aplica las medidas técnicas y organizativas descritas en el Anexo 2 y en la Política de seguridad, conforme al artículo 32 del RGPD. Plerdy puede actualizar las medidas siempre que el nivel general de protección no disminuya.

6. Subencargados del tratamiento

6.1. El Cliente otorga a Plerdy una autorización general para recurrir a subencargados del tratamiento. Los subencargados actuales figuran en el Anexo 3.

6.2. Plerdy informa al Cliente, por correo electrónico dirigido al propietario de la cuenta, al menos 14 días antes de añadir o sustituir a un subencargado. El Cliente puede oponerse, por motivos razonables de protección de datos, dentro de ese plazo escribiendo a [email protected]. Si las partes no encuentran una solución, el Cliente puede dejar de usar la parte afectada del servicio o eliminar su cuenta.

6.3. Plerdy impone a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y sigue siendo responsable de su cumplimiento.

6.4. Las integraciones que el Cliente conecta por sí mismo (por ejemplo, email marketing, CRM, Google Sheets, Slack o Telegram) reciben datos siguiendo las instrucciones del Cliente. Son proveedores propios del Cliente, no subencargados de Plerdy.

7. Asistencia al Cliente

7.1. Teniendo en cuenta la naturaleza del tratamiento, Plerdy ayuda al Cliente a responder a las solicitudes de los interesados (acceso, supresión, rectificación, oposición y otras). Plerdy remite al Cliente toda solicitud que reciba directamente de un visitante y no la responde sin instrucciones del Cliente.

7.2. Plerdy elimina los datos de un visitante concreto, a petición del Cliente, en un plazo de 30 días. El Cliente también puede eliminar los datos de un sitio web o de toda su cuenta en la cuenta de Plerdy en cualquier momento.

7.3. Plerdy facilita al Cliente la información que razonablemente necesite para las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control.

8. Violaciones de la seguridad de los datos personales

Plerdy notifica al Cliente sin dilación indebida y, cuando sea factible, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente. La notificación describe lo que se sabe en ese momento: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las posibles consecuencias y las medidas adoptadas. Plerdy añade información a medida que esté disponible y adopta medidas para limitar la violación.

9. Supresión al terminar el servicio

9.1. Mientras dure el servicio, los Datos Personales del Cliente se eliminan automáticamente tras el periodo de historial de datos del plan del Cliente y según los ajustes de conservación que el Cliente elija.

9.2. Cuando el Cliente elimina un sitio web o su cuenta, Plerdy elimina los Datos Personales del Cliente correspondientes en un plazo de 30 días, salvo que la ley obligue a Plerdy a conservarlos. Antes de eliminarlos, el Cliente puede exportar sus datos con las herramientas disponibles en la cuenta.

10. Información y auditorías

10.1. Plerdy pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD: este DPA, la Política de seguridad y respuestas por escrito a un cuestionario de seguridad razonable, una vez cada 12 meses.

10.2. Si esta información no es suficiente, el Cliente puede realizar una auditoría, por sí mismo o por medio de un auditor independiente sujeto a confidencialidad, una vez cada 12 meses, con 30 días de preaviso por escrito, en horario laboral, sin interrumpir el servicio y a expensas del Cliente. Estos límites no se aplican cuando una autoridad de control exija la auditoría ni tras una violación de la seguridad de los datos personales que afecte al Cliente.

11. Transferencias internacionales

11.1. Los Datos Personales del Cliente se almacenan en servidores en Alemania. El equipo de Plerdy trabaja desde Ucrania y puede acceder a los datos desde allí para prestar soporte y mantener el servicio. Algunos subencargados del Anexo 3 se encuentran fuera del Espacio Económico Europeo.

11.2. Cuando el Cliente esté sujeto al RGPD y los datos se transfieran a Plerdy fuera del Espacio Económico Europeo, las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión («CCT»), Módulo Dos (de responsable a encargado del tratamiento), se incorporan a este DPA por referencia, con las siguientes opciones: se aplica la cláusula 7 (cláusula de incorporación); cláusula 9, letra a), opción 2 (autorización general), con el plazo de preaviso de la sección 6.2; no se aplica el texto facultativo de la cláusula 11; cláusula 13: la autoridad de control competente para el Cliente; cláusula 17: el Derecho de Alemania; cláusula 18: los tribunales de Alemania. Los Anexos I, II y III de las CCT son los Anexos 1, 2 y 3 de este DPA.

11.3. Para las transferencias sujetas a la legislación de protección de datos del Reino Unido, se aplica el Addendum sobre Transferencias Internacionales de Datos (International Data Transfer Addendum) emitido por el Comisionado de Información del Reino Unido, junto con las CCT. Para las transferencias sujetas a la legislación suiza, se aplican las CCT entendiendo que las referencias al RGPD lo son a la Ley Federal suiza de Protección de Datos, y la autoridad competente es el Comisionado Federal suizo de Protección de Datos e Información.

11.4. Plerdy transfiere los Datos Personales del Cliente a subencargados fuera del Espacio Económico Europeo únicamente conforme a las CCT u otro mecanismo de transferencia permitido por el RGPD.

12. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de las Condiciones, en la medida en que la ley lo permita. Nada de lo dispuesto en este DPA limita los derechos de los interesados conforme al RGPD o a las CCT.

13. Vigencia, prelación y cambios

13.1. Este DPA se aplica mientras Plerdy trate Datos Personales del Cliente.

13.2. En caso de conflicto, las CCT prevalecen sobre este DPA, y este DPA prevalece sobre las Condiciones en materia de datos personales.

13.3. Plerdy puede actualizar este DPA para reflejar cambios en la ley o en el servicio. Plerdy informa a los Clientes de los cambios importantes por correo electrónico con al menos 14 días de antelación. Los cambios no reducen el nivel de protección de los Datos Personales del Cliente.

13.4. Este DPA se rige por la ley que rige las Condiciones, excepto las CCT, que se rigen según lo indicado en la sección 11.2.

Anexo 1. Descripción del tratamiento

Anexo 2. Medidas técnicas y organizativas

• Alojamiento: servidores, bases de datos y almacenamiento de grabaciones de sesiones en Alemania, en centros de datos con certificación ISO/IEC 27001.
• Cifrado en tránsito: TLS para todo el tráfico; una red de distribución de contenidos con protección contra ataques.
• Minimización de datos en el navegador: los valores introducidos en los campos de formulario se enmascaran antes de enviarse; los campos de contraseña, correo electrónico, teléfono, nombre y dirección se enmascaran siempre; los elementos marcados con data-sensitive, data-payment o data-private no se graban; las grabaciones de sesiones no son vídeos ni capturas de pantalla.
• Direcciones IP: no se almacenan en los datos de seguimiento (véase el Anexo 1).
• Señales de privacidad: no se recogen datos de los navegadores que envían Global Privacy Control o Do Not Track.
• Separación: los datos de cada Cliente se mantienen separados y no se combinan con los de otros Clientes.
• Control de acceso: acceso a los sistemas de producción y a los datos solo para los miembros autorizados del equipo que lo necesitan; cuentas personales; contraseñas de clientes almacenadas como hashes unidireccionales con sal (bcrypt); inicio de sesión en dos pasos opcional con un código de un solo uso por correo electrónico; límites a los intentos fallidos repetidos de inicio de sesión.
• Integridad del código: el script de seguimiento se genera automáticamente a partir de código fuente con control de versiones y no se edita a mano en los servidores.
• Conservación: eliminación automática de las grabaciones de sesiones según los ajustes del Cliente; eliminación automática de los demás datos de los visitantes tras el periodo de historial de datos del plan.
• Personas: obligaciones de confidencialidad; formación sobre phishing y notificación de incidentes.
• Incidentes: un proceso documentado para contener, investigar y corregir incidentes y para notificarlos a los Clientes según lo descrito en la sección 8.

Anexo 3. Subencargados del tratamiento

Los pagos los procesa Paddle como comerciante registrado (merchant of record), y AppSumo en el caso de los paquetes de AppSumo. Reciben únicamente datos de la cuenta y de facturación del Cliente, no Datos Personales del Cliente.

Contacto

Privacidad y este DPA: [email protected]
Seguridad: [email protected]