Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos ("DPA") forma parte de los Términos del servicio de SmartMailing celebrados entre Ionuț-Săndel Badiu, empresario individual con domicilio en Nordbahnstraße 13/11, 1020 Viena, Austria, GISA-Zahl 40104775 ("SmartMailing", "Encargado del tratamiento") y el cliente que utiliza la plataforma SmartMailing ("Cliente", "Responsable del tratamiento"). Regula el tratamiento de datos personales por parte de SmartMailing por cuenta del Cliente en relación con el Servicio.

En caso de conflicto entre este DPA y los Términos del servicio, este DPA prevalece en materia de protección de datos. Los términos en mayúscula no definidos aquí tienen el significado que se les da en los Términos del servicio o en el RGPD (Reglamento (UE) 2016/679).

1. Objeto, naturaleza, finalidad y duración

Objeto: SmartMailing trata los datos personales de los suscriptores del Cliente (los "Datos personales del Cliente") en relación con la prestación del Servicio, a saber, una plataforma de email marketing que permite al Cliente recopilar, organizar, segmentar y enviar emails a sus suscriptores.

Naturaleza del tratamiento: almacenamiento, organización, estructuración, recuperación, consulta, transmisión (envío de emails por instrucción del Cliente), alojamiento del contenido del Cliente, recepción y almacenamiento de respuestas entrantes, redacción y clasificación asistidas por IA (resultados mostrados al Cliente para su aprobación), medición de la interacción y segmentación, supresión y destrucción.

Finalidad del tratamiento: prestación del Servicio que el Cliente ha contratado. SmartMailing no trata los Datos personales del Cliente para sus propios fines.

Duración: mientras la cuenta del Cliente esté activa, y después solo como se describe en la sección 11.

2. Tipos de datos personales y categorías de interesados

Interesados: personas que se han suscrito (o que el Cliente afirma que se han suscrito) a las listas de correo del Cliente; destinatarios de los emails que el Cliente envía a través del Servicio; visitantes del formulario de suscripción alojado del Cliente; personas que responden a los emails que envía el Cliente; visitantes de las páginas alojadas de confirmación, preferencias y baja del Cliente; revisores a los que el Cliente invita a aprobar una campaña.

Categorías de datos:

Datos de contacto: dirección de email, nombre (si se proporciona), preferencia de idioma
Metadatos de suscripción: pertenencias a listas, campos personalizados que define el Cliente, fuente del opt-in, dirección IP en el momento del registro (si se captura), país aproximado (deducido de la dirección IP en el registro o facilitado por el Cliente), agente de usuario
Registros de consentimiento: texto mostrado al interesado, fuente, fecha, IP, atestación por parte del Cliente
Datos de interacción con el email: eventos de envío / entrega / apertura / clic / rebote / queja con marcas de tiempo
Entradas de supresión: direcciones a las que el Cliente nunca debe enviar emails (dadas de baja, rebotadas, con queja, eliminadas por el RGPD)
Contenido de las respuestas: dirección del remitente, asunto y texto de las respuestas recibidas cuando el Cliente activa la gestión de respuestas, más las respuestas redactadas por IA derivadas de ellas (conservadas 12 meses)
Datos de alta desde formularios y páginas alojadas: dirección IP y agente de usuario registrados con el consentimiento cuando un interesado se da de alta a través de una página alojada o un formulario integrado (las altas pasan un control anti-bots, Cloudflare Turnstile, cuyo resultado se comprueba pero no se guarda)
Datos de revisores: nombre, dirección de email, comentarios y decisión de las personas a las que el Cliente invita a revisar una campaña
Datos de inscripción en formularios: dirección de email, nombre y respuestas de las personas que se inscriben a través de los formularios de eventos o de lista de espera del Cliente (eliminados 30 días después de la fecha de fin, cuando el Cliente fija una)

SmartMailing no trata a sabiendas datos de categorías especiales (artículo 9 del RGPD) por cuenta del Cliente. El Cliente se compromete a no subir tales datos a través del Servicio.

3. Obligaciones del Cliente (responsabilidades del Responsable del tratamiento)

Mantener una base jurídica (artículo 6 del RGPD) para cada suscriptor añadido al Servicio. Para las listas de suscriptores migradas desde otra plataforma, el Cliente debe atestiguar el consentimiento previo y proporcionar el texto de consentimiento original a través del flujo de importación de SmartMailing.
Proporcionar todos los avisos requeridos a los interesados (aviso de privacidad, texto de opt-in, mecanismo de baja) y responder a las solicitudes de los interesados dirigidas al Cliente.
Usar el doble opt-in (DOI) cuando lo exija la legislación aplicable (en particular el marco ePrivacy del RGPD tal como se transpone en la región DACH y en la mayor parte de la UE).
Tratar únicamente los datos personales que el Cliente esté autorizado a tratar.
Dar instrucciones a SmartMailing únicamente a través de las funciones documentadas del Servicio (API, panel, etc.). Las instrucciones fuera de estos canales no son efectivas.
Informar a los interesados sobre el seguimiento de aperturas y clics y obtener su consentimiento previo cuando la ley de su país lo exija (en particular Francia e Italia, cuyas autoridades de control exigen desde 2026 consentimiento para los píxeles de seguimiento de apertura en emails de marketing), y respetar las retiradas de consentimiento. SmartMailing mide las aperturas y los clics solo según lo configure el Cliente por marca (todos los destinatarios salvo los que se negaron, solo los que consintieron, en la UE, el EEE y el Reino Unido solo los que consintieron y en el resto todos, o ninguno); un interesado cuya respuesta registrada es no nunca se mide, y cuando se requiere consentimiento solo se mide a los interesados cuya respuesta registrada es sí. En la configuración regional, SmartMailing se basa en el país guardado para cada interesado; el Cliente es responsable de la exactitud de los países que facilite. Los emails medidos llevan un enlace «Preferencias de seguimiento» con el que los interesados pueden retirar su consentimiento en cualquier momento sin darse de baja. Los emails transaccionales y las respuestas a mensajes de los interesados nunca se miden.
Enlazar la propia política de privacidad del Cliente en los formularios de suscripción y las páginas alojadas para que los interesados reciban la información exigida por el artículo 13 del RGPD.
No incluir datos personales en imágenes o archivos subidos al Servicio, porque los archivos subidos se sirven desde enlaces públicos (véase la sección 7).
Reconocer que activar la gestión de respuestas, vincular un chat de Telegram o usar funciones de IA sobre los Datos personales del Cliente constituye una instrucción de utilizar los subencargados correspondientes indicados en la Política de privacidad.

4. Obligaciones del Encargado del tratamiento (SmartMailing)

SmartMailing se compromete a:

tratar los Datos personales del Cliente únicamente según las instrucciones documentadas del Cliente, incluso en lo relativo a transferencias fuera del EEE, salvo cuando lo exija el Derecho de la UE o de un Estado miembro (en cuyo caso SmartMailing informa al Cliente con antelación, salvo prohibición).
informar sin demora al Cliente si, en opinión de SmartMailing, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la UE o de los Estados miembros.
garantizar que las personas autorizadas a tratar los datos estén sujetas a confidencialidad.
aplicar medidas técnicas y organizativas apropiadas (véase la sección 7).
ayudar al Cliente a responder a las solicitudes de los interesados (artículos 15-22 del RGPD) mediante funciones integradas y, cuando sea necesario, soporte técnico.
ayudar al Cliente a cumplir los artículos 32-36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto, consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone SmartMailing.
a elección del Cliente, suprimir o devolver todos los Datos personales del Cliente tras el fin del Servicio (véase la sección 11).
poner a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD.

5. Subencargados del tratamiento

El Cliente autoriza a SmartMailing a recurrir a subencargados del tratamiento para prestar el Servicio. La lista actual (con ubicación y mecanismo de transferencia) se mantiene en la Política de privacidad de SmartMailing, sección 3.

SmartMailing avisará al Cliente con al menos 14 días de antelación (por email o notificación in-app) antes de añadir o sustituir un subencargado que trate Datos personales del Cliente. Si el Cliente se opone por motivos razonables de protección de datos, podrá cancelar la parte afectada del Servicio.

Cada subencargado está vinculado por obligaciones de protección de datos no menos protectoras que las establecidas en este DPA, mediante contrato escrito o por referencia a los acuerdos marco aplicables (por ejemplo, DPA de Supabase, DPA de Resend, DPA Enterprise de OpenAI, DPA de Stripe).

Los subencargados opcionales (actualmente Telegram para las notificaciones de respuestas y OpenAI para las respuestas y contenidos redactados por IA) tratan los Datos personales del Cliente solo para las funciones que el Cliente activa, y el Cliente puede detener ese tratamiento en cualquier momento desactivando la función. Canva no es un subencargado de los Datos personales del Cliente: solo recibe los propios diseños del Cliente.

6. Transferencias internacionales de datos

Los Datos personales del Cliente se almacenan y tratan principalmente dentro de la UE/EEE y en Suiza: los servidores de aplicación se ejecutan en Fráncfort (Vercel), y el envío de email en producción a través de Amazon SES (UE) y el worker de extracción de sitios web a través de Hostinger (UE) se encuentran en el EEE, mientras que la base de datos está alojada por Supabase en Suiza, cubierta por una decisión de adecuación de la UE (por lo que no se requieren CCT para ella). Cuando se transfieren datos a encargados fuera del EEE sin decisión de adecuación (en particular a Estados Unidos a través de OpenAI, Stripe, Cloudflare, Vercel (acceso de soporte y entrega en el borde) y Resend, que envía los emails propios de SmartMailing, los códigos de acceso de los revisores y los emails de prueba), SmartMailing se basa en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), complementadas con garantías técnicas y organizativas (TLS en tránsito, cifrado en reposo, controles de acceso, webhooks verificados por firma o secreto).

7. Medidas de seguridad

SmartMailing implementa y mantiene las siguientes medidas técnicas y organizativas:

TLS 1.2 o superior para todas las conexiones al Servicio y entre nuestros servicios; los emails entregados a los servidores de correo de los destinatarios usan TLS siempre que el servidor receptor lo admita
Cifrado en reposo por parte de nuestros proveedores de alojamiento (base de datos, copias de seguridad y almacenamiento de archivos)
Separación entre clientes en una base de datos compartida mediante dos capas: seguridad a nivel de fila (RLS) para todos los accesos desde el panel del cliente, y comprobaciones de propiedad en el código de servidor de SmartMailing allí donde sus servidores usan la clave privilegiada de la base de datos, que nunca se expone a los navegadores
Contraseñas guardadas solo como hash (bcrypt, gestionadas por Supabase Auth); inicio de sesión en dos pasos opcional para cada cuenta
Webhooks entrantes verificados por firma o mediante un secreto compartido
Claves API almacenadas solo como hashes SHA-256; el texto en claro se muestra al cliente una sola vez en el momento de la creación
Registros de consentimientos, bajas, supresiones y eliminaciones del RGPD, conservados como se describe en la sección 11; los eventos de entrega recibidos del proveedor de email se conservan 90 días
Cada cuenta tiene un único titular (todavía sin roles de equipo compartidos); la clave privilegiada de la base de datos solo la usan el código de servidor y los workers en segundo plano de SmartMailing y nunca se expone a los navegadores
Limitación de frecuencia y prevención de abusos en los endpoints públicos
Actualizaciones de seguridad de las dependencias en cuanto se conocen vulnerabilidades
Inicio de sesión en dos pasos para el acceso administrativo de SmartMailing; los cambios administrativos en las cuentas de clientes (aprobaciones, pausas, eliminaciones, cambios de límites, restablecimientos del inicio de sesión en dos pasos) quedan registrados; la consulta de datos por parte del personal no se registra individualmente
Tareas automáticas de limpieza (cada hora) que aplican los plazos de la sección 11 y de la Política de privacidad

Las descripciones de seguridad detalladas se revisan al menos una vez al año y se actualizan a medida que evoluciona el Servicio.

Alojamiento público de archivos. Las imágenes y archivos subidos para su uso en emails, firmas y páginas alojadas se guardan en un contenedor de archivos que los sirve desde enlaces públicos sin autenticación, porque los clientes de correo deben poder cargarlos. Este almacenamiento no está destinado a los Datos personales del Cliente y el Cliente no debe guardar datos personales en los archivos subidos. Los propios Datos personales del Cliente (suscriptores, registros de consentimiento, eventos de interacción, respuestas) se conservan únicamente en la base de datos con control de acceso descrita anteriormente.

8. Notificación de violaciones de datos personales

SmartMailing notifica al Cliente sin dilación indebida, y cuando sea posible en un plazo de 48 horas, tras tener conocimiento de una violación de datos personales que afecte a los Datos personales del Cliente. La notificación incluye: la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables, las medidas adoptadas o propuestas, y los datos de contacto para más información.

El Cliente es responsable de notificar a sus interesados y a la autoridad de control competente cuando lo exijan los artículos 33-34 del RGPD; SmartMailing prestará una asistencia razonable.

9. Asistencia con las solicitudes de los interesados

SmartMailing ofrece funciones integradas que permiten al Cliente atender por sí mismo la mayoría de las solicitudes de los interesados:

Acceso: el panel muestra los datos de cada suscriptor, sus registros de consentimiento, sus pertenencias a listas y su historial de interacción
Rectificación: campos editables en cada fila de suscriptor
Supresión: botón "Eliminación RGPD" en cada suscriptor, que elimina al suscriptor junto con sus registros de consentimiento, respuestas entrantes y borradores de IA, inscripciones en formularios y la dirección en el historial de envíos, y escribe una entrada "no contactar"; se conserva durante 3 años una prueba mínima de consentimiento seudonimizada (sección 11)
Limitación del tratamiento: supresión manual con nota
Portabilidad: exportación de un suscriptor y de toda la cuenta (el archivo indica lo que contiene)
Oposición: cada email contiene un enlace de baja en un clic, y el centro de preferencias permite bajas granulares

Cuando una solicitud no pueda atenderse por autoservicio, SmartMailing asiste al Cliente sin coste adicional para volúmenes razonables.

10. Derechos de auditoría

Una vez por año natural, y a cargo del Cliente, el Cliente puede auditar el cumplimiento de este DPA por parte de SmartMailing solicitando una autoatestación por escrito acompañada de la documentación pertinente (política de privacidad, resumen de seguridad, lista de subencargados, historial de violaciones). Si la autoatestación no basta, el Cliente puede, con un preaviso de 30 días y a su cargo, hacer auditar el cumplimiento de SmartMailing por un auditor independiente obligado a la confidencialidad, en horario laboral y sin acceso a datos de otros clientes; si el propio regulador del Cliente exige una auditoría, SmartMailing colaborará.

11. Terminación: devolución y supresión

Tras la terminación del Servicio o a petición escrita del Cliente, SmartMailing:

permitirá al Cliente exportar los Datos personales del Cliente (formato JSON) en cualquier momento antes de eliminar su cuenta; cuando el Cliente elimine su cuenta, suprimirá de inmediato los Datos personales del Cliente (un paso que falle se completará en un plazo de 30 días); cuando SmartMailing ponga fin al Servicio, mantendrá los datos disponibles para su exportación durante 30 días y después los suprimirá en un plazo de 14 días
tras la supresión solo conservará lo que exijan la ley o este DPA: los registros de facturación (§132 BAO austriaco, 7 años) y, durante 3 años, una prueba mínima seudonimizada de consentimientos y bajas por dirección (dirección con hash unidireccional, fechas, texto y fuente del consentimiento; ninguna dirección IP), para que el Cliente pueda acreditar el consentimiento en una disputa; la lista de supresión en sí se elimina con la marca o la cuenta
confirmará la supresión por escrito a petición del Cliente
Con independencia de la terminación: los eventos de interacción por mensaje se eliminan 90 días después del envío (30 días para emails transaccionales), las respuestas entrantes a los 12 meses y las altas nunca confirmadas por doble opt-in a los 30 días

Las copias de seguridad de la base de datos que contengan Datos personales del Cliente las conserva Supabase durante 7 días y después se sobrescriben, por lo que los datos eliminados pueden permanecer en una copia hasta 7 días.

12. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA se limita según lo establecido en los Términos del servicio. Nada en este DPA limita la responsabilidad de ninguna de las partes por daños derivados del incumplimiento de sus obligaciones de protección de datos en la medida prohibida por la ley.

13. Ley aplicable y jurisdicción

Este DPA se rige por el Derecho austriaco, con exclusión de las normas de conflicto de leyes. La jurisdicción competente es la de los tribunales de Viena, Austria, en la medida en que lo permita la ley.

14. Contacto

Para consultas sobre protección de datos en virtud de este DPA, escribe a [email protected]. A petición, SmartMailing facilita una copia firmada de este DPA.

1. Objeto, naturaleza, finalidad y duración

Finalidad del tratamiento: prestación del Servicio que el Cliente ha contratado. SmartMailing no trata los Datos personales del Cliente para sus propios fines.

Duración: mientras la cuenta del Cliente esté activa, y después solo como se describe en la sección 11.

2. Tipos de datos personales y categorías de interesados

Categorías de datos:

Datos de contacto: dirección de email, nombre (si se proporciona), preferencia de idioma
Metadatos de suscripción: pertenencias a listas, campos personalizados que define el Cliente, fuente del opt-in, dirección IP en el momento del registro (si se captura), país aproximado (deducido de la dirección IP en el registro o facilitado por el Cliente), agente de usuario
Registros de consentimiento: texto mostrado al interesado, fuente, fecha, IP, atestación por parte del Cliente
Datos de interacción con el email: eventos de envío / entrega / apertura / clic / rebote / queja con marcas de tiempo
Entradas de supresión: direcciones a las que el Cliente nunca debe enviar emails (dadas de baja, rebotadas, con queja, eliminadas por el RGPD)
Contenido de las respuestas: dirección del remitente, asunto y texto de las respuestas recibidas cuando el Cliente activa la gestión de respuestas, más las respuestas redactadas por IA derivadas de ellas (conservadas 12 meses)
Datos de alta desde formularios y páginas alojadas: dirección IP y agente de usuario registrados con el consentimiento cuando un interesado se da de alta a través de una página alojada o un formulario integrado (las altas pasan un control anti-bots, Cloudflare Turnstile, cuyo resultado se comprueba pero no se guarda)
Datos de revisores: nombre, dirección de email, comentarios y decisión de las personas a las que el Cliente invita a revisar una campaña
Datos de inscripción en formularios: dirección de email, nombre y respuestas de las personas que se inscriben a través de los formularios de eventos o de lista de espera del Cliente (eliminados 30 días después de la fecha de fin, cuando el Cliente fija una)

SmartMailing no trata a sabiendas datos de categorías especiales (artículo 9 del RGPD) por cuenta del Cliente. El Cliente se compromete a no subir tales datos a través del Servicio.

3. Obligaciones del Cliente (responsabilidades del Responsable del tratamiento)

Mantener una base jurídica (artículo 6 del RGPD) para cada suscriptor añadido al Servicio. Para las listas de suscriptores migradas desde otra plataforma, el Cliente debe atestiguar el consentimiento previo y proporcionar el texto de consentimiento original a través del flujo de importación de SmartMailing.
Proporcionar todos los avisos requeridos a los interesados (aviso de privacidad, texto de opt-in, mecanismo de baja) y responder a las solicitudes de los interesados dirigidas al Cliente.
Usar el doble opt-in (DOI) cuando lo exija la legislación aplicable (en particular el marco ePrivacy del RGPD tal como se transpone en la región DACH y en la mayor parte de la UE).
Tratar únicamente los datos personales que el Cliente esté autorizado a tratar.
Dar instrucciones a SmartMailing únicamente a través de las funciones documentadas del Servicio (API, panel, etc.). Las instrucciones fuera de estos canales no son efectivas.
Informar a los interesados sobre el seguimiento de aperturas y clics y obtener su consentimiento previo cuando la ley de su país lo exija (en particular Francia e Italia, cuyas autoridades de control exigen desde 2026 consentimiento para los píxeles de seguimiento de apertura en emails de marketing), y respetar las retiradas de consentimiento. SmartMailing mide las aperturas y los clics solo según lo configure el Cliente por marca (todos los destinatarios salvo los que se negaron, solo los que consintieron, en la UE, el EEE y el Reino Unido solo los que consintieron y en el resto todos, o ninguno); un interesado cuya respuesta registrada es no nunca se mide, y cuando se requiere consentimiento solo se mide a los interesados cuya respuesta registrada es sí. En la configuración regional, SmartMailing se basa en el país guardado para cada interesado; el Cliente es responsable de la exactitud de los países que facilite. Los emails medidos llevan un enlace «Preferencias de seguimiento» con el que los interesados pueden retirar su consentimiento en cualquier momento sin darse de baja. Los emails transaccionales y las respuestas a mensajes de los interesados nunca se miden.
Enlazar la propia política de privacidad del Cliente en los formularios de suscripción y las páginas alojadas para que los interesados reciban la información exigida por el artículo 13 del RGPD.
No incluir datos personales en imágenes o archivos subidos al Servicio, porque los archivos subidos se sirven desde enlaces públicos (véase la sección 7).
Reconocer que activar la gestión de respuestas, vincular un chat de Telegram o usar funciones de IA sobre los Datos personales del Cliente constituye una instrucción de utilizar los subencargados correspondientes indicados en la Política de privacidad.

4. Obligaciones del Encargado del tratamiento (SmartMailing)

SmartMailing se compromete a:

tratar los Datos personales del Cliente únicamente según las instrucciones documentadas del Cliente, incluso en lo relativo a transferencias fuera del EEE, salvo cuando lo exija el Derecho de la UE o de un Estado miembro (en cuyo caso SmartMailing informa al Cliente con antelación, salvo prohibición).
informar sin demora al Cliente si, en opinión de SmartMailing, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la UE o de los Estados miembros.
garantizar que las personas autorizadas a tratar los datos estén sujetas a confidencialidad.
aplicar medidas técnicas y organizativas apropiadas (véase la sección 7).
ayudar al Cliente a responder a las solicitudes de los interesados (artículos 15-22 del RGPD) mediante funciones integradas y, cuando sea necesario, soporte técnico.
ayudar al Cliente a cumplir los artículos 32-36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto, consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone SmartMailing.
a elección del Cliente, suprimir o devolver todos los Datos personales del Cliente tras el fin del Servicio (véase la sección 11).
poner a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD.

5. Subencargados del tratamiento

6. Transferencias internacionales de datos

7. Medidas de seguridad

SmartMailing implementa y mantiene las siguientes medidas técnicas y organizativas:

TLS 1.2 o superior para todas las conexiones al Servicio y entre nuestros servicios; los emails entregados a los servidores de correo de los destinatarios usan TLS siempre que el servidor receptor lo admita
Cifrado en reposo por parte de nuestros proveedores de alojamiento (base de datos, copias de seguridad y almacenamiento de archivos)
Separación entre clientes en una base de datos compartida mediante dos capas: seguridad a nivel de fila (RLS) para todos los accesos desde el panel del cliente, y comprobaciones de propiedad en el código de servidor de SmartMailing allí donde sus servidores usan la clave privilegiada de la base de datos, que nunca se expone a los navegadores
Contraseñas guardadas solo como hash (bcrypt, gestionadas por Supabase Auth); inicio de sesión en dos pasos opcional para cada cuenta
Webhooks entrantes verificados por firma o mediante un secreto compartido
Claves API almacenadas solo como hashes SHA-256; el texto en claro se muestra al cliente una sola vez en el momento de la creación
Registros de consentimientos, bajas, supresiones y eliminaciones del RGPD, conservados como se describe en la sección 11; los eventos de entrega recibidos del proveedor de email se conservan 90 días
Cada cuenta tiene un único titular (todavía sin roles de equipo compartidos); la clave privilegiada de la base de datos solo la usan el código de servidor y los workers en segundo plano de SmartMailing y nunca se expone a los navegadores
Limitación de frecuencia y prevención de abusos en los endpoints públicos
Actualizaciones de seguridad de las dependencias en cuanto se conocen vulnerabilidades
Inicio de sesión en dos pasos para el acceso administrativo de SmartMailing; los cambios administrativos en las cuentas de clientes (aprobaciones, pausas, eliminaciones, cambios de límites, restablecimientos del inicio de sesión en dos pasos) quedan registrados; la consulta de datos por parte del personal no se registra individualmente
Tareas automáticas de limpieza (cada hora) que aplican los plazos de la sección 11 y de la Política de privacidad

Las descripciones de seguridad detalladas se revisan al menos una vez al año y se actualizan a medida que evoluciona el Servicio.

8. Notificación de violaciones de datos personales

El Cliente es responsable de notificar a sus interesados y a la autoridad de control competente cuando lo exijan los artículos 33-34 del RGPD; SmartMailing prestará una asistencia razonable.

9. Asistencia con las solicitudes de los interesados

SmartMailing ofrece funciones integradas que permiten al Cliente atender por sí mismo la mayoría de las solicitudes de los interesados:

Acceso: el panel muestra los datos de cada suscriptor, sus registros de consentimiento, sus pertenencias a listas y su historial de interacción
Rectificación: campos editables en cada fila de suscriptor
Supresión: botón "Eliminación RGPD" en cada suscriptor, que elimina al suscriptor junto con sus registros de consentimiento, respuestas entrantes y borradores de IA, inscripciones en formularios y la dirección en el historial de envíos, y escribe una entrada "no contactar"; se conserva durante 3 años una prueba mínima de consentimiento seudonimizada (sección 11)
Limitación del tratamiento: supresión manual con nota
Portabilidad: exportación de un suscriptor y de toda la cuenta (el archivo indica lo que contiene)
Oposición: cada email contiene un enlace de baja en un clic, y el centro de preferencias permite bajas granulares

Cuando una solicitud no pueda atenderse por autoservicio, SmartMailing asiste al Cliente sin coste adicional para volúmenes razonables.

10. Derechos de auditoría

11. Terminación: devolución y supresión

Tras la terminación del Servicio o a petición escrita del Cliente, SmartMailing:

permitirá al Cliente exportar los Datos personales del Cliente (formato JSON) en cualquier momento antes de eliminar su cuenta; cuando el Cliente elimine su cuenta, suprimirá de inmediato los Datos personales del Cliente (un paso que falle se completará en un plazo de 30 días); cuando SmartMailing ponga fin al Servicio, mantendrá los datos disponibles para su exportación durante 30 días y después los suprimirá en un plazo de 14 días
tras la supresión solo conservará lo que exijan la ley o este DPA: los registros de facturación (§132 BAO austriaco, 7 años) y, durante 3 años, una prueba mínima seudonimizada de consentimientos y bajas por dirección (dirección con hash unidireccional, fechas, texto y fuente del consentimiento; ninguna dirección IP), para que el Cliente pueda acreditar el consentimiento en una disputa; la lista de supresión en sí se elimina con la marca o la cuenta
confirmará la supresión por escrito a petición del Cliente
Con independencia de la terminación: los eventos de interacción por mensaje se eliminan 90 días después del envío (30 días para emails transaccionales), las respuestas entrantes a los 12 meses y las altas nunca confirmadas por doble opt-in a los 30 días

12. Responsabilidad

13. Ley aplicable y jurisdicción

14. Contacto

Para consultas sobre protección de datos en virtud de este DPA, escribe a [email protected]. A petición, SmartMailing facilita una copia firmada de este DPA.