Acuerdo de Encargado de Tratamiento de Datos Personales
Anexo a los Términos del Servicio de Crisol MCP (art. 28 RGPD)
0. Partes
- El Responsable del tratamiento: la persona física o jurídica que se registra en Crisol MCP y conecta sus propias cuentas de herramientas de marketing digital (en adelante, "el Cliente" o "el Responsable").
- El Encargado del tratamiento: Sara Fernández Velasco, con NIF 47528322H y domicilio en Calle Carmen Burgos, n.º 96, 18100 Armilla, Granada (España), empresaria individual (autónoma), titular de la plataforma Crisol MCP (en adelante, "el Encargado").
Este Acuerdo se entiende aceptado automáticamente al aceptar los Términos del Servicio de Crisol MCP, sin necesidad de firma separada, conforme al art. 28.9 RGPD (que admite formato electrónico).
Canal de comunicación entre las Partes. Las comunicaciones previstas en este Acuerdo (notificación de brechas de seguridad, preaviso de cambio de subencargados, solicitudes de auditoría y peticiones de asistencia) se dirigen al Encargado a través de privacidad@crisolmcp.com, y al Responsable a la dirección de correo electrónico asociada a su cuenta en la Plataforma.
1. Objeto
El Encargado, en el marco de la prestación del Servicio Crisol MCP, accede, lee y almacena temporalmente en caché los datos personales contenidos en las cuentas de herramientas de marketing digital y tiendas online que el Responsable conecta voluntariamente a la Plataforma (Google Search Console, Google Analytics 4, Google Ads, Google Merchant Center, Meta Ads, Bing Webmaster Tools, y tiendas WooCommerce o PrestaShop), con la única finalidad de ponerlos a disposición, a través del protocolo MCP (Model Context Protocol), del asistente de inteligencia artificial que el Responsable decida utilizar para consultarlos y analizarlos.
El tratamiento se realiza en todo momento en modo de solo lectura. Solo dos operaciones escriben fuera de esa frontera, ambas ejecutadas por el propio Responsable desde el panel y ninguna sobre los datos personales objeto de este Acuerdo: la notificación de rastreo a través de IndexNow, desactivada por defecto, que no implica tratamiento de datos personales sino notificación de URLs a motores de búsqueda; y el alta y baja del proyecto de desarrollador del Encargado en Google Merchant Center (registerGcp / unregisterGcp), un paso que Google exige para poder leer los datos de rendimiento y que no altera fichas de producto, precios ni configuración comercial.
Las fuentes conectables disponibles varían según el plan contratado por el Responsable; la composición vigente de cada plan es la publicada en la página de planes del Servicio.
Este Acuerdo regula exclusivamente el tratamiento de los datos a los que se refiere este apartado. El tratamiento de los datos de la propia cuenta del Responsable en Crisol MCP (email, nombre, identificador interno de cuenta) se rige por la Política de Privacidad, en la que el Encargado actúa como responsable de ese tratamiento, no como encargado.
2. Duración
Este Acuerdo permanece vigente mientras dure la relación de prestación del Servicio entre las partes, y hasta el cumplimiento íntegro de las obligaciones de supresión o devolución de datos descritas en la cláusula 9.
3. Naturaleza del tratamiento
Recogida de datos mediante las APIs oficiales de cada plataforma conectada; almacenamiento temporal en caché local (base de datos SQLite); consulta y lectura mediante herramientas MCP a petición del asistente de IA que use el Responsable; sincronización periódica de los datos cacheados.
4. Categorías de interesados
- Usuarios y visitantes de los sitios web y aplicaciones del Responsable, cuyos datos de comportamiento sean recogidos por Google Search Console y Google Analytics 4.
- Personas alcanzadas por las campañas publicitarias del Responsable en Google Ads y Meta Ads, exclusivamente a través de informes de rendimiento agregados (insights), nunca a través de listas de contactos individuales.
- Compradores de la tienda online del Responsable (WooCommerce o PrestaShop), exclusivamente a través de un identificador seudónimo asignado por la propia tienda, nunca a través de sus datos identificativos (nombre, email, teléfono, dirección, etc.).
Aclaración importante: Crisol MCP es de solo lectura en todos los canales de pago. Ninguna de sus herramientas (ads_*, meta_*) realiza llamadas a las APIs de Customer Match de Google Ads (CustomerMatchUserListService, UserDataService, OfflineUserDataJobService) ni a las de Públicos Personalizados de Meta (/customaudiences, POST /audiences). En consecuencia, ningún dato de clientes finales del Responsable (listas de emails, teléfonos u otros identificadores de contacto) pasa por la Plataforma.
5. Categorías de datos personales
| Origen | Tipo de dato |
|---|---|
| Google Search Console | Consultas y términos de búsqueda, URLs visitadas, datos agregados de posicionamiento |
| Google Analytics 4 | Identificadores de dispositivo/sesión, comportamiento de navegación, ubicación aproximada derivada de IP |
| Google Ads / Meta Ads | Datos agregados de rendimiento de campañas, costes, keywords e identificadores de conversión a nivel de informe, sin listas de contactos individuales |
| Google Merchant Center | Datos del catálogo de productos; por lo general no personales, salvo que el feed incluya datos identificativos de vendedores individuales |
| Bing Webmaster Tools | Datos equivalentes a los de Search Console, referidos al motor de búsqueda Bing |
| Tienda online (WooCommerce / PrestaShop) | Datos de catálogo (producto, SKU, precios, ventas) y de pedidos (identificadores, fechas, estado, cantidades, importes netos de impuestos), asociados a un identificador seudónimo de comprador. No se tratan datos identificativos del comprador (nombre, email, teléfono, dirección, NIF, IP ni identificadores de rastreo publicitario), que se descartan en el momento de la lectura antes de cualquier almacenamiento. |
El Encargado no trata intencionadamente categorías especiales de datos (art. 9 RGPD). Si el Responsable introdujera este tipo de datos a través de las plataformas conectadas, ello sería bajo su exclusiva responsabilidad como responsable del tratamiento.
6. Obligaciones del Encargado
Conforme al artículo 28.3 RGPD, el Encargado:
a) Tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable (entendiéndose como tales el uso normal y la configuración que el propio Responsable establezca en la Plataforma), salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro; en tal caso, informará al Responsable de esa exigencia legal antes del tratamiento, salvo que el Derecho lo prohíba.
b) Garantizará que las personas autorizadas a tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza contractual o legal.
c) Adoptará las medidas de seguridad exigidas por el artículo 32 RGPD, descritas en la cláusula 7 de este Acuerdo.
d) Respetará las condiciones establecidas en la cláusula 8 para recurrir a otros encargados del tratamiento (subencargados).
e) Asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).
f) Ayudará al Responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 RGPD (seguridad del tratamiento, notificación de brechas, evaluaciones de impacto, consultas previas a la autoridad de control), teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga el Encargado.
g) A elección del Responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación del Servicio, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación.
h) Pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este artículo, conforme al mecanismo de auditoría descrito en la cláusula 10.
7. Medidas de seguridad
El Encargado aplica, entre otras, las siguientes medidas técnicas y organizativas:
- Cifrado en reposo de todas las credenciales de terceros mediante token Fernet (AES-128-CBC + autenticación HMAC-SHA256), con clave maestra almacenada fuera de la base de datos.
- Aislamiento estricto de datos entre Responsables: los datos de un Responsable nunca son accesibles por otro. Cada Responsable dispone de su propio fichero de caché analítica, que no comparte con ningún otro Responsable.
- Caché analítica sin cifrar: a diferencia de las credenciales, el fichero de caché local de cada Responsable no está cifrado en reposo. No contiene credenciales ni datos identificativos de compradores; sí puede contener el identificador seudónimo descrito en la cláusula 5. Reside en la infraestructura del subencargado indicado en la cláusula 8, está aislado por Responsable y se purga automáticamente conforme a los plazos declarados en la Política de Privacidad.
- Frontera de minimización en la lectura de tiendas online: el sistema extrae un conjunto cerrado y predefinido de campos y descarta el resto del pedido en el momento de la lectura, antes de cualquier almacenamiento, de modo que los datos identificativos del comprador no se copian, no se transmiten y no se almacenan.
- Control de acceso basado en roles (administrador / usuario). El administrador puede eliminar los datos de un Responsable, pero no puede descifrar ni leer sus credenciales.
- Registro de auditoría de las acciones relevantes realizadas sobre las credenciales y herramientas conectadas.
- Comunicaciones cifradas mediante HTTPS en todo el Servicio.
- El asistente de inteligencia artificial integrado en el panel nunca accede a credenciales ni a los datos objeto de este Acuerdo; únicamente recibe metadatos de la cuenta del Responsable: qué fuentes tiene conectadas, su plan contratado y la pantalla del panel en la que se encuentra.
8. Subencargados
El Responsable autoriza con carácter general al Encargado a recurrir a los siguientes subencargados para la prestación del Servicio:
| Subencargado | Función | Ubicación |
|---|---|---|
| OVH SAS | Infraestructura de hosting (VPS); almacenamiento de la base de datos cifrada y de las copias de seguridad automáticas (retención de 7 días, gestionadas por el propio sistema de backups de OVH) | Gravelines, Francia (UE) |
OVH es el único subencargado de este Acuerdo: no se utiliza ningún proveedor adicional para copias de seguridad ni para ninguna otra función relacionada con los datos objeto de este Acuerdo.
El Encargado informará al Responsable con un mínimo de 15 días naturales de antelación de cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Responsable la oportunidad de oponerse por motivos razonables relacionados con la protección de datos. El Encargado impondrá a cualquier subencargado las mismas obligaciones en materia de protección de datos que las establecidas en este Acuerdo.
9. Devolución y supresión de datos
Al finalizar la prestación del Servicio (por baja del Responsable o terminación de la relación contractual), el Encargado suprimirá los datos personales objeto de este Acuerdo conforme a los plazos establecidos en la Política de Privacidad: supresión completa en un plazo máximo de 14 días desde la finalización del acceso, con eliminación de la base de datos en producción en un plazo máximo de 48 horas desde esa misma finalización y purga de las copias de seguridad cifradas en un plazo máximo de 7 días (según el sistema de retención de backups de OVH). Si el Responsable ejerce su derecho de supresión conforme al artículo 17 del RGPD, los mismos plazos se cuentan desde la recepción de su solicitud. Esta supresión se realizará salvo que exista una obligación legal que exija la conservación de algún dato concreto, en cuyo caso se conservará únicamente ese dato durante el plazo legalmente exigido.
10. Notificación de brechas de seguridad
El Encargado notificará al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de una violación de la seguridad que afecte a los datos personales tratados por cuenta del Responsable, facilitando la información necesaria (naturaleza de la brecha, categorías y volumen aproximado de datos e interesados afectados, medidas adoptadas) para que el Responsable pueda cumplir su propia obligación de notificación a la autoridad de control en el plazo de 72 horas previsto en el artículo 33 RGPD.
11. Auditoría y verificación del cumplimiento
A petición razonable del Responsable, con un preaviso mínimo de 30 días naturales y un máximo de una solicitud al año salvo causa justificada (como una brecha de seguridad), el Encargado facilitará documentación que acredite el cumplimiento de las obligaciones de este Acuerdo (descripción de las medidas de seguridad, evidencia del cifrado aplicado, listado de subencargados vigente). El Encargado no está obligado a permitir auditorías in situ ni acceso directo a sus sistemas. Si el Responsable necesitara información adicional justificada, las partes acordarán de buena fe el procedimiento más adecuado para facilitarla.
12. Transferencias internacionales
El Encargado no transferirá los datos personales objeto de este Acuerdo fuera del Espacio Económico Europeo, salvo que medie alguna de las garantías previstas en el Capítulo V del RGPD (como Cláusulas Contractuales Tipo o una decisión de adecuación, p. ej. el EU-US Data Privacy Framework), de lo cual informará previamente al Responsable.
Mientras el único subencargado declarado en este Acuerdo (OVH) procese los datos dentro de la Unión Europea, no se realiza ninguna transferencia internacional de los datos de marketing objeto de este Acuerdo.
Nota aclaratoria: el asistente de inteligencia artificial integrado en el panel se apoya en proveedores de inferencia que pueden estar situados fuera de la Unión Europea. Dichos proveedores no tratan los datos objeto de este Acuerdo (es decir, no acceden a los datos personales de los interesados contenidos en las fuentes que el Responsable conecta), sino únicamente a metadatos de la propia cuenta del Responsable (qué fuentes tiene conectadas, su plan contratado y la pantalla del panel en la que se encuentra). El tratamiento de esos metadatos no se rige por este Acuerdo, sino por la Política de Privacidad, en la que el Encargado actúa como responsable de dicho tratamiento y donde estos proveedores figuran declarados como encargados suyos. Por ese motivo, y no por la naturaleza concreta de los metadatos transmitidos, dichos proveedores no figuran como subencargados en este documento.
13. Responsabilidad
Cada parte responderá de los daños y perjuicios que se deriven del incumplimiento de las obligaciones que el RGPD impone directamente a los encargados o a los responsables del tratamiento, respectivamente, conforme al artículo 82 RGPD. Esta cláusula regula exclusivamente el reparto interno de responsabilidad entre las Partes y no limita, modifica ni excluye el derecho de cualquier interesado a reclamar directamente frente al Encargado, al Responsable, o frente a ambos de forma solidaria, conforme al artículo 82.4 RGPD.
14. Legislación aplicable y jurisdicción
Este Acuerdo se rige por la legislación española y, en lo no previsto en él, por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Granada.