Acuerdo de tratamiento de datos

Esta página es una traducción de referencia en español de la Acuerdo de tratamiento de datos de GeneX, facilitada únicamente para su comodidad de lectura. La versión original en inglés es el único texto que prevalece; en caso de cualquier discrepancia entre esta traducción y la versión en inglés, prevalecerá la versión en inglés.

Este Acuerdo de tratamiento de datos (el «DPA») forma parte de los Términos del servicio entre usted (el «Cliente») y EASTAR ASSET MANAGEMENT LIMITED («GeneX», «nosotros») y se aplica cuando GeneX trata datos personales por su cuenta en relación con los Servicios. En caso de conflicto entre este DPA y los Términos del servicio en materia de protección de datos, prevalece este DPA.

1. Funciones de las partes.

Respecto de los datos personales contenidos en los Datos del cliente (las conversaciones, contactos y contenidos que usted trata a través de los Servicios), usted es el responsable del tratamiento y GeneX es el encargado del tratamiento, que actúa únicamente siguiendo sus instrucciones. Respecto de los datos de su cuenta, de facturación y de visita al sitio web (como el correo electrónico de su cuenta, la dirección IP y los parámetros de atribución de marketing), GeneX actúa como responsable independiente del tratamiento conforme a nuestra Política de privacidad.

2. Detalles del tratamiento.

• Materia del tratamiento: alojamiento, transmisión y tratamiento de los Datos del cliente a través de la plataforma GeneX.
• Finalidades: prestar, proteger y dar soporte a los Servicios conforme a los Términos del servicio.
• Categorías de interesados: sus clientes y contactos («Usuarios finales»), los miembros de su personal («Agentes»).
• Categorías de datos: identificadores de contacto (nombres, números de teléfono), contenido de mensajes y conversaciones, archivos multimedia, metadatos de dispositivo y de uso, y datos de la cuenta de los Agentes.
• Categorías especiales: no debe enviar a través de los Servicios datos personales de categorías especiales (salud, biométricos, opiniones políticas, religiosas y similares) sin nuestro acuerdo previo por escrito.

3. Instrucciones de tratamiento.

Tratamos los Datos del cliente únicamente para prestar los Servicios, tal como se documenta en los Términos del servicio, en este DPA y en la configuración de su producto. Le informaremos si consideramos que una instrucción infringe la normativa de protección de datos aplicable.

4. Confidencialidad.

Nuestro personal que trata los Datos del cliente está sujeto a obligaciones de confidencialidad, y el acceso se le concede estrictamente conforme al principio de necesidad.

5. Medidas de seguridad.

Mantenemos medidas técnicas y organizativas que incluyen: el cifrado de los datos en tránsito (TLS) y en reposo; el control de acceso basado en funciones y la autenticación multifactor para el acceso administrativo; el registro de auditoría de las acciones administrativas; el truncamiento de direcciones IP en los registros de analítica y de atribución de marketing; la eliminación automática de los datos de clientes potenciales no registrados en un plazo de 90 días; las prácticas de mínimo privilegio y de desarrollo seguro; y las copias de seguridad cifradas. Podemos actualizar estas medidas de vez en cuando, pero no reduciremos materialmente su nivel general de protección.

6. Subencargados del tratamiento.

Usted nos otorga una autorización escrita general para contratar subencargados. Mantenemos la lista vigente en el Anexo A y damos un preaviso mínimo de 30 días antes de añadir o sustituir un subencargado que trate Datos del cliente; usted podrá oponerse por motivos razonables de protección de datos, en cuyo caso trabajaremos con usted de buena fe y, si la objeción no puede resolverse, usted podrá dar por terminados los Servicios afectados con un reembolso proporcional de las tarifas prepagadas. Seguimos siendo responsables del cumplimiento de estas obligaciones por parte de nuestros subencargados como si se tratara del nuestro propio, e imponemos a cada uno de ellos términos de protección de datos al menos tan protectores como los de este DPA.

7. Solicitudes de los interesados.

Si recibimos una solicitud de uno de sus Usuarios finales o Agentes relativa a sus datos personales contenidos en los Datos del cliente, se lo notificaremos (salvo prohibición legal) y, cuando sea posible, dirigiremos al interesado hacia usted. Proporcionamos herramientas de autoservicio para el acceso, la rectificación, la exportación y la eliminación, y, en caso contrario, prestaremos una asistencia razonable con dichas solicitudes.

8. Violaciones de datos personales.

Le notificaremos sin dilación indebida, y cuando sea viable en un plazo de 72 horas, en el momento de tener conocimiento de una violación de datos personales que afecte a los Datos del cliente, incluidos los datos que conozcamos sobre la naturaleza de la violación, las categorías y el número aproximado de registros e individuos afectados, las consecuencias probables y las medidas adoptadas o previstas. Tomaremos medidas razonables para asistirle en el cumplimiento de sus propias obligaciones de notificación.

9. Transferencias internacionales.

Alojamos los Datos del cliente y los datos de la cuenta en servidores seguros en Singapur, con copias de seguridad cifradas. Singapur se beneficia de la decisión de adecuación de la Comisión Europea. Cuando los datos personales se transfieran a un proveedor de servicios establecido fuera del EEE, del Reino Unido o de Suiza (por ejemplo, nuestro proveedor de envío de correo electrónico en Estados Unidos), se aplican y se incorporan por referencia las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución 2021/914 de la Comisión, Módulo 2 cuando usted es responsable del tratamiento y Módulo 3 cuando es encargado) y, para el Reino Unido, el International Data Transfer Addendum. Nuestras medidas de seguridad de la sección 5, así como las evaluaciones de impacto de las transferencias disponibles a petición razonable, sirven como medidas complementarias.

10. Auditorías y certificaciones.

Mantenemos certificaciones de terceros a nivel de grupo, incluida la ISO/IEC 27001. A petición razonable y con sujeción a la confidencialidad, facilitaremos nuestra documentación de seguridad y los informes de auditoría aplicables. Cuando sus obligaciones conforme al derecho aplicable no puedan cumplirse mediante dicha documentación, acordaremos con usted, por adelantado, un procedimiento de auditoría.

11. Supresión y devolución de los datos.

Durante su suscripción puede exportar los Datos del cliente utilizando las herramientas del producto. Tras la terminación o la expiración dispone de una ventana de exportación de 30 días; después eliminamos los Datos del cliente en un plazo de 90 días, con excepción de las copias de seguridad, que se eliminan conforme a su ciclo de rotación habitual no superior a 90 días, y de los datos que debamos conservar por ley. Confirmaremos la eliminación a petición.

12. Registros de tratamiento.

Mantenemos registros de nuestras actividades de tratamiento correspondientes a los Servicios, de conformidad con el artículo 30, apartado 2, del RGPD, y ponemos la información pertinente a su disposición a petición razonable.

13. Orden de precedencia.

En materia de protección de datos: las Cláusulas Contractuales Tipo (cuando resulten aplicables) prevalecen sobre este DPA, y este DPA prevalece sobre los Términos del servicio.

14. Contacto.

Preguntas sobre protección de datos: [email protected].

Anexo A. Subencargados.

Subencargados actuales que pueden tratar datos personales contenidos en los Datos del cliente o en los datos de la cuenta (a la fecha de entrada en vigor de este DPA):

• Alibaba Cloud — infraestructura en la nube (ECS) que aloja nuestros sistemas de producción. Ubicación del tratamiento: Singapur. Términos de tratamiento de datos: Alibaba Cloud Data Processing Addendum (incluye las CCT de la UE y el UK Addendum).
• Resend, Inc. — envío de correos electrónicos transaccionales y de notificación. Ubicación del tratamiento: Estados Unidos. Términos de tratamiento de datos: Resend Data Processing Agreement (incluye las CCT de la UE; certificación SOC 2 Type II).

Proveedores de pago. Utilizamos proveedores de pago de terceros para procesar los pagos. Estos proveedores no son subencargados de los Datos del cliente:

• Airwallex (Hong Kong) Limited — procesamiento de pagos. Airwallex actúa como responsable independiente del tratamiento de los datos de las cuentas de los pagadores y de las transacciones (con fines de prevención del fraude, cumplimiento normativo y redes de pago) y como encargado del tratamiento de los datos de instrucciones y facturación que le facilitamos, conforme a su Data Processing Addendum (doble módulo: responsable-a-responsable y responsable-a-encargado).
• PayPal — procesamiento de pagos. PayPal actúa como responsable independiente del tratamiento de los datos del pagador para sus propios fines de prevención del fraude, cumplimiento normativo y redes de pago, tal como se establece en su Data Protection Addendum for Payment Processing Products.

Notas. (i) Nuestro registrador de dominios y proveedor de DNS (Namecheap) y nuestra autoridad de certificación TLS (Let's Encrypt) no tratan datos personales de usuarios finales y se enumeran aquí únicamente por transparencia. (ii) Los componentes centrales del servicio (bases de datos, caché y servicio web) son software de código abierto autoalojado que se ejecuta en la infraestructura anterior. (iii) Los sistemas de producto de GeneX, incluido genex.eastarasset.com, son operados por la propia EASTAR ASSET MANAGEMENT LIMITED y no son subencargados de terceros. Si en algún momento contratamos a una empresa del grupo o a cualquier otro proveedor para tratar los Datos del cliente, se añadirá a esta lista con los mismos derechos de notificación y objeción previstos en la sección 6.

Entrada en vigor: 13 de octubre de 2026 · EASTAR ASSET MANAGEMENT LIMITED