1. Funciones
Usted es el responsable del tratamiento (Controller) de los datos personales de sus clientes y afiliados. Rekomi, operado por Uplup Inc., es el encargado del tratamiento (Processor). Cada parte cumple la legislación de protección de datos que le resulte aplicable.
2. Alcance del tratamiento
Rekomi trata datos personales únicamente siguiendo sus instrucciones documentadas, salvo que la ley exija otra cosa. Datos personales cubiertos: nombres, correos electrónicos, direcciones, formularios fiscales e historial de pagos de los afiliados; el correo electrónico del cliente o un identificador con hash cuando se usa para la atribución; señales de fraude en clics y formularios (IP con hash, agente de usuario, huella del dispositivo y puntuaciones de riesgo); datos de leads enviados a través de formularios de leads CPL; el contenido de los mensajes que usted y sus afiliados intercambian en la plataforma; el texto del perfil de creador y las estadísticas de las cuentas sociales conectadas que se le muestran; los datos protegidos de clientes de Shopify recibidos a través de nuestra app de Shopify; y los registros históricos de afiliados, conversiones, comisiones y atribución de clientes (incluidos correos electrónicos de clientes e identificadores de cliente/suscripción de Stripe) que usted importa desde una plataforma de afiliados anterior. Rekomi es responsable del tratamiento independiente, no su encargado, respecto de los datos de cuenta de los usuarios de su propia marca y de la relación directa de los afiliados con Rekomi (su cuenta de Rekomi, su perfil y su identidad de pago), tal y como se describe en nuestra Política de privacidad.
3. Subencargados
Rekomi recurre a los subencargados que figuran en /legal/subprocessors. Publicamos las incorporaciones en /legal/subprocessors con la fecha de actualización y avisamos por correo electrónico a los propietarios de la organización al menos 30 días antes de que un nuevo subencargado trate datos personales de Clientes, salvo cuando un cambio sea urgente por motivos de seguridad o continuidad, en cuyo caso avisamos tan pronto como sea razonablemente posible. Usted puede oponerse a un nuevo subencargado; si no podemos atender la objeción de forma razonable, puede dar por terminado el servicio afectado.
4. Medidas de seguridad
Seguridad de nivel de fila por cliente, cifrado en reposo (AES-256) y en tránsito (TLS 1.3), webhooks firmados y registro de auditoría. El modelo de seguridad detallado está en /security.
5. Transferencias internacionales
Los datos personales pueden ser tratados en Estados Unidos por subencargados. Cuando lo exija la legislación de la UE, del Reino Unido o de Suiza, nos apoyamos en las Cláusulas Contractuales Tipo (SCC) para los datos de la UE, en la Adenda internacional de transferencia de datos del Reino Unido para los datos del Reino Unido, y en las SCC con las adaptaciones suizas descritas más abajo para los datos suizos, con los subencargados que traten datos personales de la UE, del Reino Unido o de Suiza.
Adaptaciones suizas. Para las transferencias sujetas a la Ley Federal suiza de Protección de Datos (FADP), las SCC se aplican con las adaptaciones reconocidas por el Comisionado Federal suizo de Protección de Datos e Información (FDPIC): el FDPIC es la autoridad de control competente conforme a la Cláusula 13 en la medida en que la transferencia se rija por la FADP; las referencias al RGPD se entienden hechas a la FADP, y las referencias a un Estado miembro o a la Unión Europea se entiende que incluyen a Suiza, de modo que los interesados en Suiza puedan ejercer sus derechos y presentar reclamaciones en Suiza conforme a la Cláusula 18; y cuando una transferencia esté sujeta exclusivamente a la FADP, las SCC se rigen por el derecho suizo conforme a la Cláusula 17. Cuando una transferencia esté sujeta tanto al RGPD como a la FADP, las SCC se aplican tal como las adoptó la Comisión Europea, y estas adaptaciones se aplican en paralelo a los datos suizos.
6. Notificación de violaciones de datos personales
Rekomi le notifica sin dilación indebida y a más tardar 72 horas después de confirmar una violación de datos personales que afecte a sus datos personales, incluida la naturaleza de la violación, las categorías afectadas, las consecuencias probables y las medidas correctoras adoptadas.
7. Solicitudes de los interesados
Rekomi le ayuda a responder a las solicitudes de acceso, rectificación, supresión y portabilidad de los interesados. Usted puede corregir los registros de afiliados y exportar los datos de su programa en CSV directamente desde el panel. Para la supresión, el afiliado elimina su propia cuenta desde su Configuración, o usted nos reenvía la solicitud a support@rekomi.com y Rekomi la atiende en un plazo de 30 días. Para cualquier otra cuestión, escriba a support@rekomi.com.
8. Derechos de auditoría
Los clientes Enterprise pueden solicitar una auditoría presencial con un aviso previo razonable. Los informes de auditoría independientes de terceros se pondrán a disposición bajo acuerdo de confidencialidad (NDA) cuando esos trabajos concluyan.
9. Devolución y supresión de los datos
Al terminar la relación, Rekomi mantiene los datos personales disponibles para su exportación y para una posible reactivación, y los elimina a petición del Cliente o cuando el Cliente elimina la cuenta. Las copias de seguridad que contienen datos personales se conservan hasta 7 días y se sobrescriben en cada rotación.
10. Conflicto
Si este DPA entra en conflicto con las Condiciones del servicio, prevalece este DPA en lo relativo al tratamiento de datos personales.
Mantenemos esta adenda al día a medida que el producto evoluciona. Las variantes Enterprise y las modificaciones a medida están disponibles previa solicitud en support@rekomi.com.