Versión 1.0 · 17 de octubre de 2026
El presente Acuerdo de encargo del tratamiento (el «Acuerdo» o «DPA») forma parte de las Condiciones del servicio y de cualquier acuerdo de servicios entre el cliente (el «Responsable del tratamiento») e IOANNIS PASSALIDIS, empresario individual que opera bajo el nombre comercial JAMP Web Solutions, NIF Z5585289C, Calle Monte de Piedad 5, 18010 Granada, España (el «Encargado del tratamiento»). Se aplica siempre que el Encargado del tratamiento trate datos personales por cuenta del Responsable del tratamiento, de conformidad con el artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»). Al utilizar los servicios afectados, el Responsable del tratamiento acepta el presente DPA.
1. Objeto, duración, naturaleza y finalidad
| Servicios | (a) servicios de «Conectar» y de retransmisión de API utilizados por nuestros plugins (Google Ads, Google Data Manager, Meta, TikTok); (b) soporte; (c) cuando se haya acordado, alojamiento, mantenimiento y desarrollo de los sitios web del Responsable del tratamiento; (d) cuando se haya acordado, gestión de cuentas publicitarias |
| Duración | Mientras se presten los servicios, más el plazo de supresión previsto en la cláusula 9 |
| Naturaleza | Transmisión, retransmisión, almacenamiento (solo alojamiento), consulta (solo soporte) |
| Finalidad | Exclusivamente la prestación de los servicios al Responsable del tratamiento |
| Interesados | Clientes y visitantes del sitio web del Responsable del tratamiento; usuarios del Responsable del tratamiento |
| Categorías de datos | Datos identificativos y de contacto (nombres, correos electrónicos, números de teléfono; en los servicios de retransmisión, solo seudonimizados mediante hash), datos de pedidos y conversiones (importes, marcas de tiempo, identificadores), identificadores en línea (identificadores de clic, direcciones IP cuando las envíe el Responsable del tratamiento) |
| Categorías especiales | Ninguna. El Responsable del tratamiento no debe enviar categorías especiales de datos |
2. Obligaciones del Encargado del tratamiento
El Encargado del tratamiento: 1. trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, incluidas las presentes condiciones y los ajustes elegidos en el plugin, salvo que el Derecho de la UE o el Derecho español exija otra cosa (en cuyo caso informará al Responsable del tratamiento, salvo que esté prohibido); 2. garantiza que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad; 3. aplica las medidas de seguridad del Anexo 1; 4. respeta las condiciones relativas a los subencargados de la cláusula 4; 5. asiste al Responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados y en el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del RGPD; 6. al finalizar los servicios, suprime o devuelve los datos, según lo establecido en la cláusula 9; 7. pone a disposición la información necesaria para demostrar el cumplimiento y permite la realización de auditorías razonables, según lo establecido en la cláusula 8.
3. Servicios de retransmisión: sin almacenamiento
En los servicios de retransmisión de API (a), el Encargado del tratamiento no almacena el contenido de las solicitudes o respuestas ni registra su contenido. Los registros contienen únicamente la hora, el endpoint, el estado, la duración y un hash de la clave de licencia, y se conservan durante 30 días. Los identificadores personales (correo electrónico, teléfono) se seudonimizan mediante hash SHA-256 en el sitio web del Responsable del tratamiento antes de su transmisión.
4. Subencargados
El Responsable del tratamiento otorga una autorización general para los subencargados enumerados en jamp.gr/es/subencargados. El Encargado del tratamiento informará al Responsable del tratamiento de cualquier incorporación o sustitución prevista con al menos 30 días de antelación, por correo electrónico o mediante la actualización de dicha página con aviso a los clientes activos. El Responsable del tratamiento podrá oponerse por motivos razonables de protección de datos; si no se encuentra una solución, el Responsable del tratamiento podrá resolver el servicio afectado. El Encargado del tratamiento impone a cada subencargado las mismas obligaciones de protección de datos que las establecidas en el presente DPA.
5. Transferencias internacionales
Las transferencias fuera del EEE se realizan únicamente al amparo de una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o de las Cláusulas Contractuales Tipo de la Comisión Europea.
6. Violaciones de la seguridad de los datos personales
El Encargado del tratamiento notifica al Responsable del tratamiento, sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de ella, toda violación de la seguridad de los datos personales que afecte a los datos del Responsable del tratamiento, con la información disponible en ese momento.
7. Obligaciones del Responsable del tratamiento
El Responsable del tratamiento confirma que dispone de una base jurídica para el tratamiento, que ha informado a los interesados (también sobre el uso de plataformas publicitarias), que recaba el consentimiento necesario (por ejemplo, para cookies publicitarias o Customer Match) y que sus instrucciones son conformes a la ley.
8. Auditorías
El Encargado del tratamiento responde por escrito a las preguntas sobre su cumplimiento en un plazo de 30 días. Pueden realizarse auditorías presenciales una vez al año, con un preaviso de 30 días, a cargo del Responsable del tratamiento y sin acceso a los datos de otros clientes.
9. Supresión al finalizar los servicios
En un plazo de 30 días desde la finalización de los servicios, el Encargado del tratamiento suprime los datos personales del Responsable del tratamiento (o los devuelve, en el caso del alojamiento, si así se solicita antes de la finalización), salvo que la ley exija su conservación. Las copias de seguridad se sobrescriben dentro del ciclo normal de copias de seguridad (máximo 12 meses).
10. Responsabilidad y prelación
La responsabilidad se rige por las Condiciones del servicio o por el acuerdo de servicios. En caso de conflicto en materia de protección de datos, prevalecerá el presente DPA.
Anexo 1: Medidas técnicas y organizativas
- Cifrado en tránsito (TLS 1.2 o superior) para todos los servicios; HSTS en los dominios de la plataforma.
- Acceso a los servidores únicamente mediante claves SSH; cuentas de administrador con autenticación en dos factores.
- Separación: los servicios de la plataforma se ejecutan con un usuario de sistema dedicado, separado de otros sitios web; bases de datos accesibles solo localmente.
- Secretos (claves de API, secretos de cliente) almacenados fuera de los directorios raíz web con permisos restringidos, y en un gestor de contraseñas.
- Copias de seguridad cifradas y fuera de las instalaciones, con pruebas periódicas de restauración.
- Aplicación periódica de actualizaciones de seguridad; cortafuegos con solo los puertos necesarios abiertos; protección contra ataques de fuerza bruta.
- Minimización de datos: sin almacenamiento del contenido retransmitido; identificadores seudonimizados mediante hash; conservación limitada de registros (30 días).
- Acceso a los datos del Responsable del tratamiento únicamente por parte del titular de JAMP Web Solutions, y solo cuando sea necesario para el servicio o el soporte.