Acuerdo de Tratamiento de Datos (DPA)

1 Partes y definiciones

Este Acuerdo se celebra entre:

A los efectos de este Acuerdo se aplican las definiciones de la Ley General de Protección de Datos de Brasil (Ley 13.709/2018 — LGPD): Datos Personales (cualquier información relativa a una persona física identificada o identificable), Tratamiento (toda operación realizada con datos personales), Interesado (la persona física a la que se refieren los datos), Subencargado (tercero que realiza el tratamiento bajo instrucciones de la Encargada). Cuando los datos estén sujetos al RGPD, se aplican las definiciones equivalentes del artículo 4 del Reglamento (UE) 2016/679, y “Encargada” y “Responsable” tienen el significado allí previsto.

2 Objeto y naturaleza del tratamiento

Notifiquei actúa como Encargada en el tratamiento de los datos personales de terceros (seguidores, comentaristas y remitentes de mensajes directos en Instagram) que interactúan con las automatizaciones configuradas por el Responsable (el Cliente).

El tratamiento realizado por Notifiquei incluye:

• Recepción y procesamiento de mensajes directos (DMs) recibidos por el perfil del Responsable;
• Lectura y respuesta automatizada a comentarios en las publicaciones del Responsable;
• Procesamiento de interacciones en historias, conforme a los flujos configurados por el Responsable;
• Almacenamiento temporal de los identificadores de usuario de Instagram necesarios para operar las automatizaciones;
• Generación de informes y estadísticas de uso para el Responsable.

Notifiquei no determina las finalidades del tratamiento — estas son definidas exclusivamente por el Responsable al configurar los flujos de automatización.

3 Tipos de datos y categorías de interesados

Notifiquei no trata datos sensibles (art. 5, II de la LGPD; art. 9 del RGPD) en el marco de este Acuerdo.

4 Finalidad y base legal

El tratamiento realizado por Notifiquei tiene como única finalidad la ejecución del contrato de prestación de servicios celebrado con el Responsable (art. 7, V de la LGPD; art. 6(1)(b) del RGPD). Notifiquei no utilizará los datos para ninguna otra finalidad, incluidas su propia publicidad, el entrenamiento de modelos de IA o el uso compartido con terceros no autorizados.

Es responsabilidad del Responsable garantizar que dispone de una base legal adecuada para recopilar y tratar los datos de los interesados a través de la plataforma Notifiquei, incluida la observancia de las políticas de Meta Platform y de las directrices aplicables de la ANPD o de la autoridad de control europea competente.

5 Duración del tratamiento

El tratamiento de datos de terceros (seguidores/contactos del Responsable) se realiza durante la vigencia del contrato de servicios. Tras la cancelación de la cuenta:

• Los datos de interacción (contenido de mensajes y comentarios) se eliminan en un plazo máximo de 30 (treinta) días;
• Los identificadores técnicos necesarios para la auditoría se conservan hasta 90 (noventa) días adicionales;
• Los registros de seguridad se conservan durante 6 (seis) meses, conforme exige el Marco Civil de Internet de Brasil.

6 Obligaciones de Notifiquei (Encargada)

Notifiquei se compromete a:

• Tratar los datos personales exclusivamente conforme a las instrucciones documentadas del Responsable;
• Garantizar que las personas autorizadas para tratar los datos estén sujetas a obligaciones de confidencialidad;
• Implementar medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos (cifrado en tránsito TLS, control de acceso por función, registros de auditoría);
• Notificar al Responsable en un plazo máximo de 72 (setenta y dos) horas si tiene conocimiento de un incidente de seguridad que afecte a datos tratados en este Acuerdo;
• Asistir al Responsable en la atención de solicitudes de los interesados (art. 18 de la LGPD; arts. 15 a 22 del RGPD), en la medida de lo técnicamente posible;
• Asistir al Responsable en el cumplimiento de las obligaciones relativas a la seguridad, la notificación de incidentes y las evaluaciones de impacto;
• Eliminar o devolver los datos al Responsable al término de los servicios, conforme a los plazos del apartado 5;
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en este Acuerdo.

7 Obligaciones del Responsable (Cliente)

El Responsable se compromete a:

• Garantizar que dispone de una base legal adecuada para utilizar los datos de los interesados (seguidores/contactos) a través de la plataforma Notifiquei;
• Utilizar la plataforma conforme a las políticas de Meta Platform Terms y a la legislación de protección de datos aplicable;
• No configurar flujos de automatización con fines ilícitos o discriminatorios, ni que vulneren los derechos de los interesados;
• Responder directamente a las solicitudes de los interesados que ejerzan sus derechos en relación con interacciones ocurridas a través de la plataforma;
• Comunicar a Notifiquei de inmediato cualquier solicitud de un interesado o de una autoridad que afecte a datos tratados en este Acuerdo;
• Mantener seguras sus credenciales de acceso a la plataforma.

8 Subencargados

Notifiquei utiliza los siguientes subencargados en el tratamiento de datos en el marco de este Acuerdo:

Autorización general y responsabilidad (RGPD art. 28(2) y (4)). El Responsable otorga autorización general por escrito para la contratación de los subencargados indicados arriba. Notifiquei impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este Acuerdo y sigue siendo plenamente responsable ante el Responsable del cumplimiento de esas obligaciones por parte de los subencargados. Notifiquei informará al Responsable de cualquier cambio relevante en la lista con una antelación mínima de 15 (quince) días, salvo fuerza mayor; el Responsable puede oponerse de forma motivada por escrito a dpa@notifiquei.com.br.

9 Seguridad e incidentes

Notifiquei adopta las siguientes medidas de seguridad técnica y organizativa:

• Cifrado de datos en tránsito (TLS 1.2+);
• Control de acceso basado en funciones (RBAC) con principio de mínimo privilegio;
• Registros de acceso y auditoría con retención de 90 días;
• Pruebas de seguridad periódicas;
• Política interna de respuesta a incidentes.

En caso de incidente de seguridad que afecte a datos tratados en este Acuerdo, Notifiquei notificará al Responsable en un plazo máximo de 72 (setenta y dos) horas, con descripción de la naturaleza del incidente, las categorías y el número estimado de interesados afectados, y las medidas adoptadas o propuestas para remediarlo.

10 Transferencias internacionales de datos

El servidor principal de la API de Notifiquei opera en infraestructura ubicada en Brasil (Turbocloud), y la base de datos, la autenticación y el almacenamiento de medios se encuentran en un centro de datos en Brasil (Supabase, São Paulo). El tratamiento puede implicar transferencias a Estados Unidos (integración con Meta, monitorización, notificaciones push y proveedores de IA) y, eventualmente, a otros países en el caso de proveedores y pasarelas de inteligencia artificial. Esas transferencias cuentan con salvaguardas adecuadas (art. 33 de la LGPD).

Transferencias conforme al RGPD (Capítulo V). En 2026, la Comisión Europea y la ANPD reconocieron la equivalencia entre la LGPD y el RGPD (adecuación mutua), de modo que la transferencia de datos entre el Espacio Económico Europeo y Brasil se produce de forma directa, sin salvaguardas adicionales. Para las transferencias a subencargados ubicados en países sin decisión de adecuación de la Unión Europea (por ejemplo, Estados Unidos), Notifiquei utiliza las Cláusulas Contractuales Tipo (CCT) de la UE u otro mecanismo válido del Capítulo V, y el Responsable puede solicitar la desactivación de las funcionalidades de inteligencia artificial que dependan de proveedores ubicados fuera de un país con adecuación.

11 Derechos de los interesados

Cuando un interesado (seguidor/contacto del Responsable) ejerza ante Notifiquei los derechos previstos en el art. 18 de la LGPD o en los arts. 15 a 22 del RGPD, esta redirigirá la solicitud al Responsable en un plazo de 5 (cinco) días hábiles, dado que es el Responsable quien tiene la obligación principal de atenderla.

Notifiquei asistirá técnicamente al Responsable en la atención de esas solicitudes en la medida de lo posible, sin coste adicional para hasta 5 (cinco) solicitudes al mes.

12 Vigencia, resolución y eliminación de datos

Este Acuerdo estará vigente durante todo el período de contratación de los servicios. La cancelación de la cuenta por el Responsable o por Notifiquei implica la resolución automática de este Acuerdo, sin perjuicio de las obligaciones de confidencialidad y de los plazos de conservación previstos en el apartado 5.

Mediante solicitud por escrito al correo dpa@notifiquei.com.br, el Responsable puede solicitar la eliminación anticipada de los datos de terceros tratados en este Acuerdo, siempre que no exista impedimento legal.

13 Contacto del Delegado de Protección de Datos

Para cuestiones relacionadas con este Acuerdo, incluidos el ejercicio de derechos de los interesados y las notificaciones de incidentes:
Delegado de Protección de Datos (DPO): Antonio Duarte
Correo electrónico: dpa@notifiquei.com.br
Notifiquei — CNPJ 59.859.848/0001-13

14 Cláusulas específicas del RGPD (art. 28)

Cuando el Responsable trate, a través de la plataforma, datos personales de interesados ubicados en la Unión Europea o en el Espacio Económico Europeo, este Acuerdo sirve también como el contrato de encargado exigido por el art. 28 del Reglamento (UE) 2016/679 (RGPD). A tal efecto, el Responsable es el controller y Notifiquei es el processor, y se aplican las siguientes disposiciones, que prevalecen en caso de conflicto con las demás cláusulas en lo que respecta a datos sujetos al RGPD:

• Instrucciones documentadas (art. 28(3)(a)): Notifiquei trata los datos únicamente conforme a las instrucciones documentadas del Responsable — que incluyen estos Términos, este DPA y las automatizaciones y configuraciones definidas por el Responsable en la plataforma —, incluso en lo relativo a transferencias internacionales, salvo exigencia legal.
• Confidencialidad (art. 28(3)(b)): las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad.
• Seguridad (art. 28(3)(c) y art. 32): medidas técnicas y organizativas adecuadas, conforme al apartado 9.
• Subencargados (art. 28(2) y (4)): autorización general, imposición de las mismas obligaciones y responsabilidad de Notifiquei, conforme al apartado 8.
• Asistencia en derechos del interesado (art. 28(3)(e)): Notifiquei asiste al Responsable para responder a las solicitudes de ejercicio de los derechos de los arts. 15 a 22 del RGPD (acceso, rectificación, supresión, limitación, oposición, portabilidad), en la medida de lo técnicamente posible.
• Apoyo en seguridad, violaciones y EIPD (art. 28(3)(f), arts. 33–34 y art. 35): Notifiquei notifica al Responsable sin dilación indebida (y en un plazo máximo de 72 horas) al tener conocimiento de una violación, y le asiste en las evaluaciones de impacto y consultas previas.
• Eliminación o devolución (art. 28(3)(g)): al término de los servicios, los datos se eliminan o se devuelven conforme al apartado 5.
• Auditoría (art. 28(3)(h)): Notifiquei pone a disposición del Responsable la información necesaria para demostrar el cumplimiento y permite auditorías e inspecciones razonables, con aviso previo y sujetas a confidencialidad.
• Transferencias internacionales (Capítulo V): conforme al apartado 10 (adecuación Brasil–UE; CCT para países sin adecuación).

Nota: Notifiquei es una empresa establecida en Brasil y no ha designado representante en la UE en los términos del art. 27 del RGPD. Los interesados y las autoridades de la UE pueden contactar directamente con el Delegado de Protección de Datos en dpa@notifiquei.com.br.