Acuerdo de encargado de tratamiento (DPA)
Última actualización: 15 de noviembre de 2026
Este acuerdo se incorpora a los Términos del servicio y es aplicable cuando el cliente (responsable del tratamiento) introduce en Difundora datos personales de terceros (por ejemplo, clientes finales, empleados, personas que aparecen en su contenido o audiencia de sus redes).
1. Partes y roles
Responsable: el cliente que contrata Difundora. Encargado: Argos Creativo.
2. Objeto, duración y naturaleza
Tratamiento de datos personales para prestar el servicio: ingesta de contenido de marca, generación de texto, imagen, voz y vídeo, programación y publicación en redes sociales, medición de resultados y facturación. Duración: la del contrato, más el plazo de supresión indicado más abajo.
Categorías de datos: identificativos y de contacto, contenido publicado, imagen y voz si el cliente las aporta, métricas de audiencia agregadas. Categorías de interesados: usuarios del cliente, sus clientes y contactos, y personas que aparecen en el contenido.
3. Obligaciones del encargado
Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable (este acuerdo y el uso normal del servicio).
Garantizar que las personas autorizadas se han comprometido a la confidencialidad.
Aplicar medidas técnicas y organizativas adecuadas: aislamiento por organización, control de acceso por fila, cifrado de credenciales (AES-256-GCM) y de comunicaciones (TLS), limitación de acceso interno y copias de seguridad.
Asistir al responsable en el ejercicio de los derechos de los interesados, en las evaluaciones de impacto y en la gestión de brechas de seguridad.
Notificar al responsable sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales.
Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables con preaviso.
4. Subencargados
El responsable autoriza con carácter general la contratación de los subencargados indicados a continuación. El encargado informará de cualquier incorporación o sustitución con al menos 15 días de antelación, para que el responsable pueda oponerse de forma razonable. Con cada subencargado se firman obligaciones de protección de datos equivalentes.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de ficheros pequeños | UE |
| Cloudflare (R2) | Almacenamiento de imágenes y vídeos generados | UE |
| Anthropic | Modelos de IA para estrategia, textos y control de calidad | EE. UU. |
| OpenAI | Embeddings para la base de conocimiento de marca | EE. UU. |
| reAPI y fal.ai | Generación de imágenes y vídeo | EE. UU. |
| ElevenLabs | Síntesis de voz | UE / EE. UU. |
| sync.so | Sincronización labial de vídeo | EE. UU. |
| Upload-Post | Publicación en redes sociales y lectura de métricas | UE |
| Stripe | Cobros, suscripciones y facturación | UE / EE. UU. |
| Resend | Envío de correo transaccional | EE. UU. |
| Upstash | Colas de trabajo (Redis) | UE |
5. Transferencias internacionales
Cuando un subencargado esté fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo de la Comisión Europea.
6. Devolución y supresión
Al terminar el servicio, el encargado permitirá la exportación del contenido durante 30 días y después suprimirá los datos personales y las copias, salvo que la ley exija conservarlos.