Acuerdo de encargo del tratamiento de datos

Última actualización: 14 de octubre de 2026

Este Acuerdo de encargo del tratamiento de datos ("DPA") se celebra entre Aporia Research Ltd (número de empresa 17518971, registrada en Inglaterra y Gales), London N22 8NL, Reino Unido ("nosotros"), que gestiona Page Lemon, y tú, el cliente. "Tú" incluye a cualquiera que publique un sitio en Page Lemon, con cuenta o sin ella. Este DPA forma parte de nuestros Términos del servicio siempre que tratemos datos personales por cuenta tuya. Lo aceptas al aceptar los Términos, al publicar un sitio o al reclamar un sitio en una cuenta. Si este DPA y los Términos entran en conflicto en materia de protección de datos, prevalece este DPA.

1. Funciones

• Respecto de los datos personales que tus sitios recogen o contienen ("datos personales del cliente"), tú eres el responsable del tratamiento y nosotros somos tu encargado del tratamiento. Si actúas por cuenta de otra persona (por ejemplo, una agencia que crea el sitio de un cliente), tú eres encargado del tratamiento y nosotros somos tu subencargado. El Anexo 1 enumera los datos.
• Respecto de los datos de tu propia cuenta, de facturación y de soporte, nosotros somos responsables del tratamiento. Eso lo regula nuestra Política de privacidad, no este DPA.
• "Legislación de protección de datos" significa el UK GDPR y la Data Protection Act 2018 y, cuando te sea aplicable, el GDPR de la UE (Reglamento (UE) 2016/679), así como las leyes que los sustituyan o desarrollen. Términos como "responsable del tratamiento", "encargado del tratamiento", "violación de la seguridad de los datos personales" e "interesado" tienen el significado que les dan esas leyes.

2. Tus instrucciones

• Tratamos los datos personales del cliente únicamente siguiendo tus instrucciones documentadas. Tus instrucciones son: este DPA y los Términos; los ajustes que elijas en Page Lemon; y lo que tú, tu equipo o una aplicación de IA que conectes pidan a Page Lemon que haga a través de la aplicación, la API o nuestro servidor MCP. Las instrucciones adicionales deben darse por escrito (basta el correo electrónico) y ser compatibles con el funcionamiento del servicio.
• También podemos tratar datos personales del cliente cuando lo exija la legislación del Reino Unido (o, en el caso de datos de la UE, la legislación de la UE o de un Estado miembro). En ese caso, te lo comunicaremos antes, salvo que esa legislación lo prohíba por razones importantes de interés público.
• Te avisamos de inmediato si consideramos que una instrucción infringe la legislación de protección de datos. No estamos obligados a seguirla hasta que se confirme o se modifique.
• Eres responsable de contar con una base jurídica para los datos que recogen tus sitios, de tu propio aviso de privacidad para tus visitantes y de lo que pides que recojan tus formularios y páginas.
• No vendemos los datos personales del cliente, no los usamos para publicidad, no los usamos para entrenar modelos de IA ni los combinamos con datos de otros clientes.

3. Confidencialidad

Todas las personas que autorizamos a tratar datos personales del cliente están sujetas a un deber de confidencialidad, por contrato o por ley. El acceso se limita a quienes lo necesitan para operar, proteger o atender el servicio.

4. Seguridad

• Mantenemos las medidas técnicas y organizativas del Anexo 2. Podemos modificarlas, pero no de forma que se reduzca la protección global.
• Eres responsable de la seguridad de lo que controlas: tu inicio de sesión, tus tokens de API y enlaces de reclamación, las personas a las que invitas, las aplicaciones de IA que conectas y el contenido de tus sitios.

5. Subencargados

• Autorización general. Nos autorizas a utilizar los subencargados que figuran en nuestra página de subencargados. En ella se indica cada proveedor, su finalidad, los datos implicados y dónde trata los datos.
• Aviso de cambios. Al menos 14 días antes de que un subencargado nuevo o sustituto empiece a tratar datos personales del cliente, enviamos un correo a cada titular de cuenta y actualizamos la página de subencargados. Los sitios publicados sin cuenta no tienen dirección de correo, así que para ellos la página es la notificación.
• Oposición. Puedes oponerte por motivos razonables de protección de datos dentro de esos 14 días escribiendo a support@pagelemon.com. Lo hablaremos de buena fe. Si no podemos resolverlo, puedes dar por terminado el plan de pago afectado y te reembolsamos el periodo prepagado que no hayas utilizado.
• Mismas obligaciones. Cada subencargado está obligado por un contrato escrito con obligaciones de protección de datos que ofrecen, al menos, la misma protección que este DPA. Seguimos siendo responsables ante ti de su cumplimiento.

6. Cómo te ayudamos

• Solicitudes de las personas. Te ayudamos a responder a las personas que ejercen sus derechos de protección de datos. Gran parte es de autoservicio: puedes ver, exportar y eliminar mensajes de formularios y reservas, quitar miembros, quitar un formulario o eliminar un sitio. Si una persona se pone en contacto con nosotros sobre tu sitio, te trasladamos la solicitud y no la respondemos nosotros, salvo que la ley nos obligue.
• Otra ayuda. Te prestamos ayuda razonable con tus obligaciones de seguridad, las notificaciones de violaciones de seguridad, las evaluaciones de impacto relativas a la protección de datos y la consulta a una autoridad de control, con la información de que disponemos.

7. Violaciones de la seguridad de los datos personales

• Te avisamos sin dilación indebida y procuramos hacerlo en un plazo de 48 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales del cliente. Enviamos el aviso a la dirección de correo del titular de la cuenta.
• Te contamos lo que sabemos y lo ampliamos a medida que averiguamos más: qué ha ocurrido, las categorías y el número aproximado de personas y registros afectados, las posibles consecuencias y lo que hemos hecho o prevemos hacer.
• Avisarte no implica admitir culpa. Tú decides si notificas a la autoridad de control o a las personas afectadas.

8. Dónde están los datos y transferencias internacionales

• Dónde están los datos. Nuestros servidores están en Londres, Reino Unido. Contienen la base de datos de cuentas (incluidos mensajes de formularios, reservas y miembros) y una caché de los archivos de los sitios. Los archivos de los sitios se almacenan en la UE, igual que las copias de seguridad de la base de datos. Algunos subencargados tratan datos en otros países, incluido Estados Unidos, como muestra la página de subencargados.
• Datos que nos llegan desde la UE. Si te es aplicable el GDPR de la UE, los datos que nos envías al Reino Unido están cubiertos por la decisión de adecuación de la Comisión Europea relativa al Reino Unido. Si esa decisión deja de estar vigente, se aplican automáticamente las cláusulas contractuales tipo de la UE, con las opciones del Anexo 3.
• Transferencias ulteriores desde nosotros. Cuando transferimos datos personales del cliente a un subencargado en un país sin decisión de adecuación, aplicamos la garantía del Anexo 3 y realizamos la evaluación del riesgo de la transferencia que esta exige. Compartimos un resumen si lo solicitas.

9. Devolución y supresión

• Exportación en cualquier momento. Mientras tu cuenta esté abierta, puedes descargar los archivos de tus sitios, los mensajes de formularios y las reservas, y las listas de miembros.
• Tú eliges al final. Cuando cierres tu cuenta o el servicio termine, eliges si te devolvemos los datos personales del cliente o los suprimimos. Para que te los devolvamos, escribe a support@pagelemon.com antes de cerrar tu cuenta, o en los 7 días siguientes, y te los enviaremos en un formato común y legible por máquina. En caso contrario, los suprimimos.
• En cuánto tiempo suprimimos. Archivos de los sitios: en un plazo de 7 días desde que se elimine el sitio o la cuenta. Mensajes de formularios y reservas: 30 días después de que los mandes a la papelera, quites el formulario o elimines el sitio. Miembros y sesiones de inicio de sesión: cuando quitas a la persona o eliminas el sitio. Números de visitas: las visitas individuales a páginas, a los 30 días; los totales diarios, 30 días después de eliminar el sitio. Datos de la cuenta: en un plazo de 30 días desde el cierre de la cuenta. Las copias de seguridad de la base de datos se renuevan cada 7 días, por lo que los datos suprimidos salen de ellas 7 días después. Los archivos de los sitios no tienen copia de seguridad aparte. Los sitios anónimos que nunca se reclaman se eliminan 72 horas después de publicarse, y sus archivos se borran en los 7 días siguientes. Si lo pides, confirmamos la supresión por escrito.
• Solo conservamos los datos durante más tiempo cuando la legislación del Reino Unido (o, en el caso de datos de la UE, la legislación de la UE o de un Estado miembro) nos obliga a almacenarlos, durante el tiempo que exija, y siguen protegidos por este DPA.

10. Auditorías e información

• Ponemos a tu disposición toda la información necesaria para demostrar que cumplimos nuestras obligaciones como tu encargado del tratamiento: este DPA, la página de subencargados, nuestras páginas de Seguridad y de Confianza, y respuestas a un cuestionario de seguridad razonable.
• Permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte de ti o de un auditor independiente que autorices y que esté sujeto a confidencialidad. Avísanos con al menos 30 días de antelación, o con menos si lo exige una autoridad de control o tras una violación de la seguridad de los datos personales. Las auditorías se realizan en horario laboral, no deben acceder a datos de otros clientes ni poner en riesgo el servicio, y cada parte asume sus propios costes.
• Normalmente esperamos una auditoría al año. Se admiten más cuando sean necesarias para demostrar el cumplimiento, tras una violación de la seguridad o si lo solicita una autoridad de control.
• Respecto de nuestros subencargados, nos basamos en sus certificaciones e informes de auditoría y los compartimos cuando sus condiciones lo permiten. Cuando no son suficientes, ejercemos por ti nuestros propios derechos de auditoría conforme a nuestros contratos con ellos.

11. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA se rige por la sección 8 de los Términos, salvo cuando la legislación de protección de datos no permita limitarla. La responsabilidad frente a las personas titulares de los datos se rige por la legislación de protección de datos.

12. Duración, cambios y ley aplicable

• Este DPA dura mientras tratemos datos personales del cliente por cuenta tuya.
• Podemos actualizar este DPA para reflejar cambios en la ley, en las orientaciones de las autoridades de control o en nuestro servicio. Avisamos por correo electrónico de los cambios importantes con al menos 30 días de antelación, igual que con los Términos. Los cambios no reducirán la protección de los datos personales del cliente salvo que la ley lo exija.
• Este DPA se rige por las leyes de Inglaterra y Gales, y los tribunales de Inglaterra y Gales tienen jurisdicción, salvo cuando se apliquen las cláusulas contractuales tipo de la UE, que se rigen entonces según lo dispuesto en el Anexo 3.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas de seguridad

1. Cifrado en tránsito. Todo el tráfico hacia nuestros dominios y hacia tus sitios usa TLS.
2. Cifrado en reposo. Los archivos de los sitios y las copias de seguridad se guardan en almacenamiento cifrado en la UE.
3. Separación. Tus sitios se sirven desde un dominio distinto del de la aplicación y el inicio de sesión, de modo que un sitio no puede leer las sesiones de la aplicación. Los datos de cada cliente se mantienen separados en la aplicación y se comprueban en cada solicitud.
4. Control de acceso. Solo el personal designado puede acceder a los servidores de producción, con claves individuales y sin contraseñas compartidas. El acceso del personal a los datos de clientes se limita a lo que exijan el soporte, la seguridad o la ley.
5. Contraseñas y tokens. Las contraseñas de los sitios y los tokens de API se guardan solo como hashes unidireccionales. Nunca vemos las contraseñas de las cuentas; el inicio de sesión lo gestiona nuestro proveedor de inicio de sesión. Los datos de la tarjeta nunca llegan a nuestros servidores.
6. Minimización de datos. Los números de visitas no usan cookies ni scripts y nunca almacenan una dirección IP completa. Los límites de spam de los formularios usan un hash unidireccional de la dirección IP.
7. Seguridad de las subidas. Las subidas se analizan en busca de claves secretas filtradas, y se bloquean las que parecen contenerlas. No ejecutamos código de servidor de los clientes.
8. Protección frente a ataques. Límites de frecuencia y protección contra ataques de denegación de servicio delante de todos nuestros dominios.
9. Resiliencia. Copias de seguridad continuas de la base de datos, un procedimiento de restauración probado y la posibilidad de volver a una versión anterior de un sitio.
10. Respuesta a incidentes. Un procedimiento escrito para violaciones de seguridad con funciones definidas, el plazo de 72 horas para notificar a la autoridad de control respecto de nuestros propios datos y el aviso al cliente de la sección 7.
11. Gestión de proveedores. Los subencargados se eligen por su seguridad y están sujetos a condiciones de tratamiento de datos.
12. Revisión. Revisamos estas medidas al menos una vez al año y tras cualquier incidente o cambio significativo.

Anexo 3: Condiciones de transferencia internacional

Partes

• Exportador de datos: tú, el cliente, con los datos de contacto de tu cuenta. Función: responsable del tratamiento o, si actúas por cuenta de otra persona, encargado del tratamiento. Actividades: las del Anexo 1.
• Importador de datos: Aporia Research Ltd (número de empresa 17518971, registrada en Inglaterra y Gales), London N22 8NL, Reino Unido, contacto support@pagelemon.com. Función: encargado del tratamiento (o subencargado). Actividades: las del Anexo 1.
• Firma y fecha: aceptar los Términos o publicar un sitio equivale a firmar este anexo, en la fecha de la aceptación.

Datos de la UE enviados a nosotros (solo si deja de estar vigente la decisión de adecuación del Reino Unido)

Transferencias de nosotros a subencargados

La garantía que usa cada subencargado se muestra en la página de subencargados o puede solicitarse a support@pagelemon.com.