Contrato de encargo del tratamiento (AVV)

El presente contrato de encargo del tratamiento («DPA» / «AVV») se celebra entre: Responsable del tratamiento (Auftraggeber): el Cliente que ha aceptado los Términos del servicio de CrunchJunkie. Encargado del tratamiento (Auftragnehmer): Tiki-Taka Media GmbH, Curschmannstraße 9, 20251 Hamburgo, Alemania («CrunchJunkie»). Este DPA regula el tratamiento de datos personales por parte de CrunchJunkie por cuenta del Cliente en relación con la plataforma de informes de marketing CrunchJunkie («Servicio») y forma parte integrante de los Términos del servicio de conformidad con el art. 28 del RGPD / art. 28 de la DSGVO.

CrunchJunkie trata datos personales por cuenta del Cliente durante la vigencia de la suscripción activa del Cliente al Servicio. El tratamiento cesa y los datos se eliminan conforme al apartado 11 al terminar la suscripción.

CrunchJunkie trata datos personales únicamente para prestar el Servicio descrito en los Términos del servicio: • Obtener, almacenar y mostrar los datos publicitarios y de analítica que el Cliente importa de las fuentes de datos conectadas (Google Ads, Meta, LinkedIn, TikTok, Microsoft Ads, Google Analytics 4, Google Business Profile, Google Search Console). • Generar informes, paneles y resúmenes con IA para el Cliente y sus clientes. • Enviar correos electrónicos de informes programados a los destinatarios designados por el Cliente. • Ofrecer las funciones de monitorización, alertas y gestión de campañas incluidas en el Servicio. • Ejecutar escaneos de visibilidad en IA: enviar los prompts monitorizados, los nombres de competidores y las consultas de investigación del Cliente a los proveedores de IA y de búsqueda enumerados en el Anexo 2 y producir las métricas, citas y recomendaciones de contenido resultantes. • Emitir tokens de acceso para los asistentes de IA que los usuarios del Cliente conecten a través del conector MCP (Anexo 2, WorkOS). El tratamiento con cualquier otra finalidad no está permitido sin la instrucción explícita por escrito del Cliente.

Pueden tratarse las siguientes categorías de datos personales, según la configuración del Cliente: • Datos de identidad y de contacto: nombres y direcciones de correo electrónico de los miembros del equipo del Cliente y de los contactos de sus clientes finales. • Datos de rendimiento publicitario: nombres de campañas, nombres de conjuntos de anuncios, etiquetas de segmentos de audiencia y métricas de rendimiento (impresiones, clics, conversiones, inversión) importados de las plataformas conectadas. Estos datos pueden hacer referencia indirectamente a datos personales si los nombres de campañas o las etiquetas de audiencia contienen identificadores personales. • Tokens de autenticación: tokens de acceso y de actualización de OAuth emitidos por las plataformas conectadas por cuenta del Cliente. • Destinatarios de la entrega de informes: direcciones de correo electrónico de los destinatarios de informes designados por el Cliente. • Entradas de visibilidad en IA: prompts monitorizados, nombres de competidores y consultas de investigación introducidos por el Cliente. Son entradas empresariales (preguntas sobre marca, producto y categoría) y no deben contener datos personales (apartado 5.6).

• Empleados, contratistas o usuarios autorizados del Cliente. • Los clientes finales del Cliente (en la medida en que su información de contacto se introduzca en la plataforma). • Personas cuyos datos puedan figurar en los datos de las plataformas publicitarias (indirectamente, a través de los metadatos de las campañas).

El Cliente, como responsable del tratamiento, es responsable de: 5.1 Asegurarse de que existe una base jurídica para todos los datos personales facilitados al Servicio o tratados a través de él. 5.2 Informar a los interesados afectados sobre el tratamiento conforme a los arts. 13 y 14 del RGPD. 5.3 Asegurarse de que la conexión de fuentes de datos de terceros (plataformas publicitarias) cumple los términos del servicio de esas plataformas y la normativa de protección de datos aplicable. 5.4 Dar instrucciones documentadas a CrunchJunkie cuando se requiera apartarse del comportamiento estándar del Servicio. Todas las instrucciones deben constar por escrito (basta el correo electrónico). 5.5 Notificar a la autoridad de control competente y a los interesados afectados las violaciones de la seguridad de los datos personales según exigen los arts. 33 y 34 del RGPD, utilizando la información facilitada por CrunchJunkie conforme al apartado 7.3. 5.6 No incluir datos personales en los prompts monitorizados, las listas de competidores, las consultas de investigación ni otras entradas de texto libre que el Servicio envía a los proveedores de IA y de búsqueda enumerados en el Anexo 2. El Servicio está concebido para preguntas sobre marca, producto y categoría; varios de esos proveedores reciben tales entradas sin un mecanismo de transferencia conforme al art. 46 del RGPD (véase el Anexo 2), lo cual es lícito únicamente porque las entradas no contienen datos personales.

CrunchJunkie, como encargado del tratamiento, se compromete a: 6.1 Tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, salvo que el Derecho de la Unión o de un Estado miembro le obligue a hacerlo (en cuyo caso CrunchJunkie informará al Cliente antes del tratamiento, salvo que la ley lo prohíba). 6.2 Garantizar que todo el personal autorizado a tratar datos personales está sujeto a obligaciones legales o contractuales de confidencialidad y está formado en los requisitos de protección de datos. 6.3 Aplicar y mantener las medidas técnicas y organizativas descritas en el apartado 8 (Anexo 1). 6.4 Asistir al Cliente —teniendo en cuenta la naturaleza del tratamiento y la información de que disponga CrunchJunkie— en el cumplimiento de sus obligaciones de responder a las solicitudes de ejercicio de derechos de los interesados (arts. 15 a 22 del RGPD). CrunchJunkie trasladará al Cliente, en un plazo de 5 días laborables, cualquier solicitud de interesados que reciba directamente. 6.5 Asistir al Cliente para garantizar el cumplimiento de los arts. 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto) en la medida de lo razonablemente posible dada la posición de CrunchJunkie. 6.6 A elección del Cliente, suprimir o devolver todos los datos personales al terminar la relación de servicio, y suprimir las copias existentes salvo que el Derecho de la Unión o de un Estado miembro exija su conservación (véase el apartado 11). 6.7 Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del art. 28 del RGPD y permitir y contribuir a la realización de auditorías conforme a lo descrito en el apartado 10.

7.1 El Cliente concede una autorización general para que CrunchJunkie recurra a subencargados del tratamiento. La lista actual de subencargados aprobados figura en el Anexo 2 siguiente. 7.2 CrunchJunkie informará al Cliente de cualquier cambio previsto en la lista de subencargados (incorporaciones o sustituciones) con al menos 14 días de preaviso por correo electrónico o notificación en la app, dándole la oportunidad de oponerse. Si no se plantea ninguna objeción en un plazo de 14 días, se considera que el Cliente ha aprobado el cambio. 7.3 Cuando un Cliente se oponga a un nuevo subencargado y CrunchJunkie no pueda prestar el Servicio sin ese subencargado, el Cliente podrá cancelar la suscripción y recibir un reembolso proporcional por el período no utilizado. 7.4 CrunchJunkie impondrá a los subencargados obligaciones de protección de datos equivalentes a las establecidas en este DPA y sigue siendo responsable ante el Cliente del cumplimiento por parte de los subencargados.

CrunchJunkie mantiene las siguientes medidas para garantizar un nivel de seguridad adecuado al riesgo conforme al art. 32 del RGPD: SEUDONIMIZACIÓN Y CIFRADO • Todos los datos en tránsito se cifran con TLS 1.2 o superior (HSTS aplicado). • Las claves de API de IA y los tokens de acceso y de actualización de OAuth se cifran con AES-256-GCM en la capa de aplicación antes de su almacenamiento; la base de datos está además cifrada en reposo por nuestro proveedor de infraestructura. • Las contraseñas se almacenan con hash bcrypt con un factor de coste de 12; nunca se almacenan contraseñas en texto plano. CONFIDENCIALIDAD • Aislamiento de inquilinos: todas las consultas a la base de datos se limitan al ID del equipo autenticado en la capa de aplicación. El acceso a datos entre inquilinos se impide por la propia arquitectura. • El acceso de los empleados a los datos de producción se restringe a un conjunto mínimo de personal autorizado, según la necesidad de conocer. INTEGRIDAD • La validación de entradas y las consultas parametrizadas a la base de datos previenen los ataques de inyección. • Se aplican tokens de protección CSRF en todas las operaciones que modifican el estado. DISPONIBILIDAD Y RESILIENCIA • La capacidad de cómputo del Servicio se ejecuta en la región de Fráncfort (UE) de Vercel; los recursos estáticos se sirven desde la CDN perimetral distribuida globalmente de Vercel, que ofrece alta disponibilidad. • La base de datos (Neon), ubicada en Fráncfort (UE), funciona con replicación continua y recuperación a un punto en el tiempo. CONTROL DE ACCESO • Se exige autenticación multifactor (MFA) para todo acceso a la infraestructura de producción. • Los derechos de acceso se revisan periódicamente y se revocan sin demora ante cambios de personal. • Todos los eventos de acceso a producción se registran. GESTIÓN DE INCIDENTES Y NOTIFICACIÓN DE VIOLACIONES • Se mantiene un proceso documentado de respuesta a incidentes. • En caso de violación de la seguridad de los datos personales, CrunchJunkie lo notificará al Cliente en un plazo de 72 horas desde que tenga conocimiento de ella, facilitando: (i) una descripción de la naturaleza de la violación; (ii) el número aproximado de registros y de interesados afectados; (iii) las posibles consecuencias; (iv) las medidas adoptadas o propuestas para hacer frente a la violación. PRUEBAS Y REVISIÓN • Las medidas de seguridad se revisan al menos una vez al año y se actualizan en respuesta a los riesgos identificados o a cambios en el panorama de amenazas. • Las actualizaciones de dependencias y los parches de vulnerabilidades se aplican con un ciclo regular.

CrunchJunkie recurre actualmente a los siguientes subencargados del tratamiento: Nombre: Vercel Inc. Finalidad: Alojamiento de la plataforma, CDN, ejecución de funciones serverless (cómputo) y almacenamiento de archivos y objetos Ubicación: Estados Unidos (región de datos: Fráncfort, Alemania — fra1, UE) Mecanismo de transferencia: cláusulas contractuales tipo + Marco de Privacidad de Datos UE-EE. UU. DPA: vercel.com/legal/dpa Nombre: Neon Inc. Finalidad: Alojamiento de la base de datos PostgreSQL Ubicación: Estados Unidos (región de datos: eu-central-1, Fráncfort, Alemania — UE) Mecanismo de transferencia: cláusulas contractuales tipo DPA: neon.tech/dpa Nombre: Upstash, Inc. Finalidad: Contadores compartidos de límite de frecuencia para los puntos de acceso de la API y de inicio de sesión (recuentos de solicitudes asociados a la dirección IP; los contadores caducan automáticamente en un plazo de 15 minutos) Ubicación: Estados Unidos (región de datos: eu-central-1, Fráncfort, Alemania — UE; sin réplicas de lectura) Mecanismo de transferencia: cláusulas contractuales tipo DPA: upstash.com/static/trust/dpa.pdf Añadido: 10 de septiembre de 2026 Nombre: WorkOS, Inc. Finalidad: Servidor de autorización OAuth del conector MCP (emite los tokens de acceso que los asistentes de IA utilizan para llamar a CrunchJunkie en nombre de un usuario; recibe el identificador de usuario, la dirección de correo electrónico y el nombre del usuario que se conecta). Solo interviene cuando un usuario conecta un cliente MCP. Ubicación: Estados Unidos Mecanismo de transferencia: cláusulas contractuales tipo DPA: workos.com/legal/dpa Añadido: 18 de septiembre de 2026 (en uso desde el 3 de julio de 2026; incluido en la lista con retraso, véase el aviso) Nombre: Stripe, Inc. Finalidad: Procesamiento de pagos y gestión de suscripciones (solo datos de facturación) Ubicación: Estados Unidos Mecanismo de transferencia: cláusulas contractuales tipo + Marco de Privacidad de Datos UE-EE. UU. DPA: stripe.com/legal/dpa Nombre: Resend Inc. Finalidad: Envío de correo electrónico transaccional (restablecimiento de contraseña, correos de informes programados) Ubicación: Estados Unidos Mecanismo de transferencia: cláusulas contractuales tipo Nombre: DataForSEO OÜ Finalidad: Resultados de búsqueda de Google y Bing para el Rank Tracker, en los espacios de trabajo que utilizan un presupuesto del Rank Tracker. Solo interviene cuando usted compra un presupuesto; con su propia cuenta de DataForSEO, DataForSEO es su subencargado, no el de CrunchJunkie. Ubicación: Unión Europea (Estonia; centro de datos en Alemania) y Estados Unidos (infraestructura en la nube); operaciones también en Ucrania Mecanismo de transferencia: cláusulas contractuales tipo DPA: dataforseo.com/privacy-policy Nombre: Subencargados de IA y de búsqueda Finalidad: Tratamiento de los prompts de los escaneos y de los datos de los informes para producir métricas de visibilidad en IA y funciones de IA. Solo intervienen cuando usted activa Managed AI o una función que utiliza al proveedor. Cuando usted aporta su propia clave de IA, o su propia cuenta de DataForSEO para el Rank Tracker, usted es el responsable de ese tratamiento y el proveedor es su subencargado, no el de CrunchJunkie. Proveedores y ubicaciones: OpenAI, L.L.C. (EE. UU.); Anthropic, PBC (EE. UU.); Google LLC (EE. UU.); Perplexity AI, Inc. (EE. UU.); X.AI LLC (EE. UU.); DeepSeek (China); Meta Platforms Ireland Limited (Irlanda; tratamiento por Meta Platforms, Inc., EE. UU.); SerpAPI, LLC (EE. UU.); Tavily (EE. UU.) Mecanismo de transferencia: según el proveedor — Marco de Privacidad de Datos UE-EE. UU. + cláusulas contractuales tipo para los proveedores estadounidenses certificados en el DPF (OpenAI, Google); Marco de Privacidad de Datos UE-EE. UU. para Meta AI (entidad contratante de la UE, entidad de tratamiento estadounidense certificada en el DPF); cláusulas contractuales tipo para los demás (Anthropic, Perplexity, xAI); y, para los proveedores que no publican ningún mecanismo del artículo 46 (SerpAPI, Tavily, DeepSeek), no se afirma ninguno — véase el registro de subencargados. SerpAPI y Tavily reciben únicamente términos de búsqueda no personales; DeepSeek y Meta AI intervienen solo con aceptación expresa.

El Cliente podrá realizar o encargar una auditoría del cumplimiento de este DPA por parte de CrunchJunkie no más de una vez por año natural, o en cualquier momento tras una violación de la seguridad de los datos personales confirmada. Las auditorías deberán: • Notificarse a CrunchJunkie por escrito con al menos 14 días de antelación. • Realizarse en horario laboral normal. • Llevarse a cabo por el Cliente o por un tercero independiente acordado de común acuerdo y sujeto a obligaciones de confidencialidad. • Correr a cargo del Cliente en cuanto a su coste. CrunchJunkie podrá atender las solicitudes de auditoría facilitando, cuando esté disponible, un informe de auditoría independiente vigente (ISO 27001, SOC 2 o equivalente) en lugar de una auditoría in situ.

Al terminar la suscripción del Cliente: 11.1 La suscripción ha terminado cuando ha finalizado en los registros del proveedor de pagos de CrunchJunkie (estado de Stripe «canceled»). Una suscripción cuyo pago aún se está cobrando no ha terminado. Una suscripción que el Cliente puso en pausa en el Servicio («Pausar suscripción y conservar mis datos») está en pausa, no terminada: los datos del espacio de trabajo se conservan hasta 12 meses desde el día en que se puso en pausa. Cuando los registros de CrunchJunkie no permiten saber si una suscripción se puso en pausa o se canceló (una pausa o una cancelación solicitada antes de que se registraran las pausas, aunque la suscripción terminara después), se trata como en pausa desde el día en que terminó. CrunchJunkie conservará los datos personales del Cliente durante al menos 30 días tras la terminación para permitirle exportar sus datos: el propietario del espacio de trabajo puede descargarlos en el Servicio en cualquier momento (Ajustes → Exporta tus datos), y el Cliente también puede solicitar una exportación de datos escribiendo a hello@crunchjunkie.io. 11.2 Una vez transcurridos 30 días desde la terminación (en un espacio de trabajo en pausa: una vez transcurridos 12 meses desde que se puso en pausa), CrunchJunkie comunicará por correo electrónico al propietario o propietarios del espacio de trabajo que el espacio de trabajo se eliminará, indicando la fecha de eliminación: 7 días después de ese correo, o 30 días después en el caso de un espacio de trabajo en pausa. En esa fecha CrunchJunkie eliminará todos los datos personales tratados por cuenta del Cliente en ese espacio de trabajo (sus clientes, informes, conexiones y datos importados, los datos de visibilidad en IA y del Rank Tracker, y los archivos subidos), junto con todas las cuentas de usuario que no pertenezcan a ningún otro espacio de trabajo y que no sean una cuenta de embajador de marca, salvo cuando el Derecho de la UE o el alemán exijan un plazo de conservación más largo (p. ej., los registros de facturación conservados conforme al § 257 HGB y al § 147 AO). Si el Cliente inicia o reanuda una suscripción antes de esa fecha, no se elimina nada. Las copias en las copias de seguridad cifradas de la base de datos de CrunchJunkie se eliminan a medida que esas copias caducan, en un plazo adicional de 30 días. 11.3 Excepciones. Un espacio de trabajo con un paquete acordado individualmente (una oferta personalizada, un acuerdo Scale o Enterprise) se elimina según disponga ese acuerdo. Un espacio de trabajo con un precio acordado individualmente, uno al que CrunchJunkie dio acceso gratuito, uno con un empleado de CrunchJunkie entre sus miembros, uno sin dirección de correo electrónico del propietario y cualquier otro espacio de trabajo que CrunchJunkie haya reservado para su revisión no se eliminan automáticamente: CrunchJunkie los revisa y los elimina a mano tras los mismos plazos. 11.4 A petición del Cliente, CrunchJunkie facilitará una confirmación por escrito de la eliminación.

Este DPA se rige por el Derecho alemán. Las controversias derivadas de este DPA quedarán sometidas a la jurisdicción exclusiva de los tribunales de Hamburgo, Alemania.

Este DPA se celebra en inglés. Cualquier traducción se facilita únicamente por comodidad. En caso de discrepancia entre la versión en inglés y una traducción, prevalecerá la versión en INGLÉS, que es la única versión jurídicamente vinculante.

En caso de conflicto entre este DPA y los Términos del servicio, este DPA prevalecerá en lo relativo al tratamiento de datos personales.