Contrato de encargo del tratamiento (DPA)

Respecto de los datos personales que el Cliente facilita al Servicio o que el Servicio recoge para el Cliente (usuarios, material de marca, contenido de conversaciones, mediciones sobre la marca del Cliente), el Cliente es el responsable del tratamiento y New Map es el encargado del tratamiento. Para sus propios fines (funcionamiento del sitio web, contabilidad, sus propias acciones de captación) New Map actúa como responsable independiente con arreglo a su Política de privacidad. Los términos utilizados en este documento tienen el significado que les atribuye el artículo 4 del RGPD.

New Map trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, que son las Condiciones, este DPA y el uso que el Cliente hace de las funciones del Servicio, también en lo relativo a las transferencias a terceros países, salvo que el Derecho de la Unión o de los Estados miembros exija otra cosa; en tal caso, New Map informa al Cliente de esa exigencia antes del tratamiento, salvo que dicho Derecho lo prohíba. New Map informa al Cliente sin demora si considera que una instrucción infringe la normativa de protección de datos. Las instrucciones que excedan las funciones del Servicio deben darse en forma de texto y podrán facturarse a precio de coste cuando supongan un trabajo adicional significativo. El Cliente encarga a New Map la obtención de estadísticas agregadas y desidentificadas a partir del uso del Servicio y de los datos de medición, según se describe en las Condiciones; dichas estadísticas no contienen datos personales, nunca se utilizan para entrenar un modelo de IA de terceros, y los datos identificables del Cliente se utilizan únicamente para ese Cliente.

New Map: (a) garantiza que las personas autorizadas para tratar los datos están sujetas a confidencialidad; (b) adopta las medidas del Anexo 2; (c) recurre a subencargados únicamente con arreglo a la cláusula 6; (d) asiste al Cliente, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados conforme al capítulo III del RGPD, remitiéndole cualquier solicitud que reciba en un plazo de 3 días hábiles y facilitando las funciones y la información necesarias; (e) asiste al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y la consulta previa, en la medida en que New Map disponga de la información; (f) suprime o devuelve los datos conforme a la cláusula 9; (g) pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 y permite auditorías conforme a la cláusula 8; (h) mantiene un registro de actividades de tratamiento conforme al artículo 30, apartado 2, del RGPD.

New Map notifica al Cliente, en la dirección de correo electrónico del titular de su cuenta, cualquier violación de la seguridad de los datos personales que afecte a los datos del Cliente, sin dilación indebida y, como máximo, en un plazo de 48 horas desde que tenga conocimiento de ella. La notificación incluye la información prevista en el artículo 33, apartado 3, del RGPD en la medida en que se conozca, y se completa a medida que se esclarezcan los hechos. New Map documenta las violaciones y colabora en las notificaciones del Cliente a la autoridad de control y a los interesados. New Map no notifica a las autoridades ni a los interesados en nombre del Cliente salvo instrucción en ese sentido.

El Cliente otorga una autorización general para los subencargados que se indican a continuación. Con cada uno de ellos se celebra un contrato escrito que impone obligaciones de protección de datos con un nivel de protección no inferior al de este DPA, y New Map sigue siendo plenamente responsable ante el Cliente de su cumplimiento. New Map avisa con al menos 30 días de antelación, por correo electrónico al titular de la cuenta, antes de añadir o sustituir un subencargado; el Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo, las partes buscarán una solución de buena fe y, si no la encuentran, el Cliente podrá resolver el contrato del Servicio afectado al término del plazo de aviso sin penalización. Los proveedores marcados como responsables independientes no son subencargados y se enumeran a efectos de exhaustividad. «DPF» es el Marco de Privacidad de Datos UE-EE. UU.; «sin verificar» significa que New Map aún no ha comprobado la certificación vigente del proveedor y se acoge a las cláusulas contractuales tipo hasta que lo haga.

Las instrucciones y los contenidos que enviamos a los proveedores de IA se tratan conforme a sus condiciones de API para empresas. Anthropic, OpenAI, Perplexity y xAI no utilizan las entradas ni las salidas de la API para entrenar sus modelos, y Google aplica a la API de Gemini sus condiciones de datos del nivel de pago para los desarrolladores establecidos en el EEE, según las cuales las instrucciones y las respuestas no se utilizan para mejorar los productos de Google. No permitimos que ningún proveedor entrene un modelo público con sus datos.

Los datos del Cliente se almacenan en la UE (Anexo 1, lugar de almacenamiento). Cuando un subencargado se encuentra fuera del Espacio Económico Europeo y no existe una decisión de adecuación aplicable, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. en el caso de proveedores estadounidenses certificados (comprobado con la lista oficial el 13 de octubre de 2026; el Anexo 3 indica la garantía aplicable a cada subencargado) y, en el caso de subencargados no certificados, en las cláusulas contractuales tipo de la Comisión Europea (Decisión (UE) 2021/914, módulos 2 y 3), complementadas por una evaluación de impacto de la transferencia y las medidas del Anexo 2. Para los datos del Reino Unido se aplica el Addendum internacional de transferencia de datos del Reino Unido; para los datos suizos se aplican las adaptaciones de la FADP. El Cliente autoriza a New Map a suscribir estas cláusulas con los subencargados en su nombre cuando sea necesario.

New Map facilita, previa solicitud y como máximo una vez cada 12 meses, la información razonablemente necesaria para demostrar el cumplimiento del artículo 28: este DPA, el Anexo 2 vigente y las certificaciones e informes de auditoría de sus proveedores de infraestructura (por ejemplo, los informes SOC 2 de Vercel y Supabase). Cuando ello resulte insuficiente, el Cliente o un auditor independiente sujeto a confidencialidad podrá auditar los sistemas y registros pertinentes de New Map con un preaviso de 30 días, en horario laboral, sin perturbar la actividad y a cargo del Cliente; tras una violación confirmada que afecte al Cliente, la auditoría correrá a cargo de New Map y sin el límite de 12 meses.

A la terminación del Servicio, o antes si el Cliente lo solicita por escrito, New Map devuelve los datos del Cliente en un formato de uso común y lectura mecánica y los suprime, incluidas las copias en poder de los subencargados, en un plazo de 30 días, y confirma la supresión en forma de texto si se le solicita. Las copias de seguridad cifradas se sobrescriben dentro del ciclo de rotación de copias, de 30 días como máximo. Los datos que el Derecho de la Unión o de los Estados miembros obligue a New Map a conservar se mantienen únicamente para esa finalidad y durante ese plazo.

• Confidencialidad, control de acceso: acceso a los sistemas de producción solo para personal identificado con cuentas individuales y autenticación multifactor; verificación en dos pasos obligatoria para todos los inicios de sesión de administración y del equipo de New Map, y disponible para todos los usuarios del Cliente; principio de mínimo privilegio; revisión de accesos cuando cambian las funciones; secretos guardados en el almacén cifrado de variables de entorno del proveedor de alojamiento, nunca en el código.
• Confidencialidad, separación de datos: seguridad por filas en la base de datos, de modo que los registros de cada Cliente solo pueden leerlos los usuarios de ese Cliente y el Servicio cuando actúa en su nombre; delimitación por cliente en todas las herramientas de los agentes.
• Confidencialidad, seudonimización y cifrado: TLS 1.2 o superior en tránsito; cifrado en reposo en los proveedores de base de datos y almacenamiento; tokens de integración cifrados con AES-256-GCM mediante una clave guardada únicamente en el almacén de variables de entorno; contraseñas almacenadas como hashes con sal por el proveedor de autenticación.
• Integridad: rutas de API firmadas y con límite de frecuencia; verificación antibots en los formularios públicos de inicio de sesión, registro y contacto, cuando está activada; campos de auditoría (quién y cuándo) en los registros; registro de las acciones de los agentes; registro de seguridad de los inicios de sesión y las sesiones, que cada Cliente puede consultar en su pestaña Seguridad; verificación automatizada del contenido generado frente a los datos del Cliente antes de mostrarlo.
• Disponibilidad y resiliencia: infraestructura gestionada con redundancia; base de datos y autenticación alojadas en AWS en Irlanda (UE); copias de seguridad automatizadas y cifradas de la base de datos, con recuperación a un momento dado en el proveedor y rotación en un plazo de 30 días; limitación de peticiones contra abusos; supervisión y alertas ante fallos.
• Gestión de incidentes: procedimiento de respuesta documentado, evaluación de violaciones, notificación conforme a la cláusula 5, revisión posterior al incidente.
• Procesos: registro de actividades de tratamiento; revisión de protección de datos de las nuevas funciones y proveedores; formación del personal en protección de datos; contratos con subencargados conforme al artículo 28, apartado 4.

New Map podrá actualizar estas medidas siempre que no se reduzca el nivel de protección. Las medidas vigentes también se describen en la página de seguridad.

La responsabilidad derivada de este DPA se ajusta a lo dispuesto en las Condiciones, sin perjuicio del artículo 82 del RGPD. Este DPA se rige por la legislación y la jurisdicción indicadas en las Condiciones. En caso de conflicto, este DPA prevalece sobre las Condiciones en lo relativo al tratamiento de datos personales, y las cláusulas contractuales tipo prevalecen sobre este DPA cuando sean de aplicación.

Solicitudes de los interesados, notificaciones de violaciones, solicitudes de auditoría y oposiciones a subencargados: privacy@thenewmap.ai.