Contrato de encargo del tratamiento

Este contrato de encargo del tratamiento («Contrato de Encargo») se celebra entre el cliente que usa Elevion («Cliente», el responsable del tratamiento) y Pelle Krukow, que opera con el nombre comercial FrostChanger, Ballindamm 3, 20095 Hamburgo, Alemania («Elevion», «nosotros», el encargado del tratamiento).

El Contrato de Encargo forma parte de nuestros Términos y se aplica automáticamente a todos los espacios de trabajo del Cliente desde el momento en que el Cliente acepta los Términos. Los propietarios de un espacio de trabajo también pueden aceptarlo de forma expresa en los ajustes. En ese caso guardamos quién aceptó qué versión y cuándo. Si este Contrato de Encargo y los Términos se contradicen en materia de protección de datos, prevalece este Contrato de Encargo.

1. Objeto y duración

Elevion trata datos personales por cuenta del Cliente para prestar el Servicio descrito en los Términos: responder a comentarios y mensajes en las cuentas de Instagram conectadas del Cliente, enviar DMs y notas de voz, gestionar la bandeja de entrada, recoger leads y las funciones relacionadas de estadísticas, IA e integraciones. El Contrato de Encargo está vigente mientras tratemos datos personales para el Cliente, es decir, hasta que los datos del Cliente se hayan suprimido tras el fin del contrato (sección 12).

2. Naturaleza y finalidad del tratamiento

Recogida, conservación, organización, consulta, transmisión, transcripción, traducción y supresión de datos personales, con el único fin de prestar el Servicio al Cliente según la configuración del Cliente. No tratamos los datos para fines propios, no los vendemos y no los usamos para entrenar modelos de IA.

3. Tipos de datos personales y categorías de interesados

Interesados

• Personas en Instagram que comentan en una cuenta conectada, responden a una de sus historias, la mencionan o le envían un DM.
• Leads, es decir, personas que facilitan al Cliente una dirección de correo electrónico o un número de teléfono a través de una campaña.
• Los miembros del equipo del Cliente, en la medida en que sus datos formen parte del espacio de trabajo (por ejemplo, quién envió un mensaje, notas y asignaciones).

Tipos de datos personales

• ID de Instagram, nombre de usuario, foto de perfil y, si una campaña lo comprueba, si la persona sigue la cuenta conectada.
• Textos de comentarios, DMs, respuestas a historias y menciones, y las respuestas enviadas.
• Fotos, vídeos, archivos y mensajes de voz que envían las personas, y transcripciones en texto de los mensajes de voz.
• Dirección de correo electrónico o número de teléfono de los leads y, cuando se recoge una dirección de correo electrónico, el registro de consentimiento (hora, texto de la pregunta mostrada y campaña).
• Estado de entrega de las respuestas y los DMs, toques en enlaces, bajas (STOP), el idioma de una conversación, participaciones en sorteos, notas y asignaciones.

El Servicio no está pensado para categorías especiales de datos personales (art. 9 RGPD). El Cliente no debe pedir ese tipo de datos en las campañas.

4. Instrucciones

Tratamos los datos personales únicamente siguiendo instrucciones documentadas del Cliente, salvo que el Derecho de la Unión o de los Estados miembros nos obligue a otra cosa. En ese caso informaremos al Cliente antes del tratamiento, salvo que ese Derecho lo prohíba. Las instrucciones del Cliente se recogen en los Términos y en este Contrato de Encargo y se dan a través de los ajustes y las campañas del Servicio. El Cliente puede dar instrucciones adicionales por correo electrónico a privacy@elevion.cc. Si consideramos que una instrucción infringe la normativa de protección de datos, lo comunicaremos al Cliente sin demora y podremos suspender su ejecución hasta que la confirme o la modifique.

5. Confidencialidad

Todas las personas que en Elevion tienen acceso a los datos personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria, y solo acceden a los datos en la medida necesaria para prestar el Servicio, atender las solicitudes de soporte del Cliente o corregir fallos.

6. Seguridad del tratamiento

Aplicamos las medidas técnicas y organizativas descritas en el anexo 1 (art. 32 RGPD). Podemos desarrollarlas, siempre que el nivel de protección no disminuya.

7. Subencargados del tratamiento

El Cliente nos da una autorización general para recurrir a otros encargados del tratamiento (subencargados). Los subencargados del anexo 2 se consideran autorizados. Imponemos por contrato a cada subencargado obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que este Contrato de Encargo, y seguimos siendo responsables ante el Cliente de su trabajo.

Informamos al Cliente con al menos 30 días de antelación antes de añadir o sustituir un subencargado, por correo electrónico al propietario del espacio de trabajo y actualizando el anexo 2. El Cliente puede oponerse dentro de ese plazo por motivos razonables relacionados con la protección de datos. Si no podemos resolver la oposición, el Cliente puede resolver la suscripción afectada con efecto en la fecha en que el cambio surta efecto, y le reembolsaremos los importes pagados por adelantado por el periodo posterior a esa fecha.

No son subencargados a efectos de este Contrato de Encargo: Meta, que opera Instagram y trata los datos como responsable propio; los servicios que el Cliente conecta por sí mismo, como Kit, Mailchimp, Shopify, webhooks o herramientas que usan nuestra API, que actúan siguiendo las instrucciones del Cliente; y los servicios push de los fabricantes de navegadores, que solo transportan notificaciones cifradas de extremo a extremo.

8. Transferencias fuera de la UE

Solo transferimos datos personales a un país fuera de la UE o del EEE si se cumplen los requisitos del capítulo V del RGPD, en particular una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU. para los destinatarios certificados, o las cláusulas contractuales tipo de la Comisión Europea. El anexo 2 indica el mecanismo de cada subencargado.

9. Solicitudes de los interesados

El Cliente puede atender por sí mismo la mayoría de las solicitudes desde el panel: en todos los planes puede exportar todo lo que Elevion guarda sobre un contacto (mensajes, datos del lead, respuestas a comentarios, toques en enlaces y notas) y eliminarlo. Un mensaje que solo dice STOP, STOPP, unsubscribe, abmelden, baja o darme de baja marca a la persona como dada de baja, y a partir de ese momento Elevion no le envía nada automático. Si un interesado se dirige directamente a nosotros, trasladamos la solicitud al Cliente sin demora y no la respondemos nosotros, salvo que el Cliente nos dé instrucciones para ello. Además, ayudamos al Cliente en la medida razonable a cumplir sus obligaciones de los arts. 12 a 22 RGPD.

10. Otra asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información a nuestra disposición, ayudamos al Cliente a cumplir sus obligaciones de los arts. 32 a 36 RGPD, en particular en materia de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control, por ejemplo facilitando la información de este Contrato de Encargo y respondiendo a preguntas razonables.

11. Violaciones de la seguridad de los datos personales

Notificamos al Cliente sin dilación indebida, en cuanto tengamos conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a sus datos, por correo electrónico al propietario del espacio de trabajo. La notificación incluye, en la medida en que se conozca en ese momento, la información indicada en el art. 33.3 RGPD, y facilitamos más información a medida que esté disponible. Adoptamos las medidas necesarias para proteger los datos y limitar los posibles daños.

12. Supresión y devolución al finalizar

Antes de que termine el contrato, el Cliente puede descargar sus datos: la exportación de la cuenta en Settings, Account, y la exportación de contactos concretos. Cuando el Cliente elimina su cuenta, sus campañas se detienen de inmediato y, tras un plazo de 7 días en el que puede cancelar la eliminación, suprimimos todos los datos personales tratados para el Cliente. Al quitar una cuenta de Instagram del espacio de trabajo se suprimen al instante los datos de esa cuenta. Los datos suprimidos desaparecen de nuestras copias de seguridad cifradas a medida que estas rotan, a más tardar a los 12 meses. Esto no se aplica cuando el Derecho de la Unión o de los Estados miembros nos obligue a conservar los datos.

13. Información y auditorías

Ponemos a disposición del Cliente, previa solicitud por correo electrónico, toda la información necesaria para demostrar el cumplimiento del art. 28 RGPD. El Cliente, o un auditor designado por él que esté obligado a guardar confidencialidad y no sea competidor de Elevion, puede realizar auditorías, incluidas inspecciones. Las auditorías deben anunciarse con al menos 30 días de antelación, se realizan en horario laboral normal sin perturbar la actividad y se limitan a una al año, salvo que se haya producido una violación de la seguridad de los datos personales o lo exija una autoridad de control. El Cliente asume sus propios costes y nos reembolsa los costes razonables de la auditoría. Siempre que sea posible, respondemos primero a las preguntas por escrito.

14. Responsabilidades del Cliente

El Cliente es responsable de la licitud del tratamiento que ordena, en particular de contar con una base jurídica para los mensajes que envía y los datos que recoge, de informar a las personas afectadas en su propia política de privacidad, de identificar los mensajes automáticos cuando sea obligatorio y del uso que haga de los datos de los leads en las herramientas que conecta. Cuando las direcciones de correo electrónico se sincronizan con una herramienta de newsletter, recomendamos usar el doble opt-in de esa herramienta.

15. Responsabilidad

La responsabilidad derivada de este Contrato de Encargo se rige por la limitación de responsabilidad de nuestros Términos. El art. 82 RGPD no se ve afectado.

16. Disposiciones finales

• Este Contrato de Encargo se rige por el derecho de la República Federal de Alemania. El fuero se determina según los Términos.
• Podemos actualizar este Contrato de Encargo cuando lo exijan la ley, una autoridad de control o un cambio en el Servicio. Anunciamos los cambios importantes por correo electrónico con al menos 30 días de antelación. Los cambios de subencargados siguen la sección 7.
• Si una disposición de este Contrato de Encargo no es válida, el resto sigue en vigor.
• Este Contrato de Encargo está disponible en inglés, en alemán y en español. Todas las versiones tienen el mismo contenido.

Anexo 1: Medidas técnicas y organizativas

Cifrado

• Todas las conexiones con el Servicio usan HTTPS, con HTTP Strict Transport Security. Cloudflare también se conecta a nuestro servidor mediante TLS.
• Los tokens de acceso de Instagram, las claves de las integraciones conectadas, los secretos de los webhooks y las claves de API de los servicios que usamos se guardan cifrados con AES-256-GCM. La clave se guarda fuera de la base de datos.
• Las contraseñas se guardan como hashes Argon2id. Las claves de API y los tokens de las sesiones iniciadas solo se guardan como hashes SHA-256.
• Las copias de seguridad externas se cifran antes de salir del servidor.

Control de acceso

• Cada solicitud se comprueba frente al espacio de trabajo al que pertenece, de modo que un espacio de trabajo solo puede ver sus propios datos.
• Roles dentro de un espacio de trabajo (propietario, administrador, editor). Solo los propietarios y administradores pueden, por ejemplo, eliminar contactos o quitar cuentas de Instagram.
• Las cookies de sesión son HttpOnly, Secure, SameSite=Lax y están vinculadas a nuestro dominio. Los usuarios pueden ver y cerrar sus sesiones.
• El área de administración interna está limitada a cuentas de administrador nominativas. La administración de los servidores se realiza con claves SSH.
• Límites de solicitudes en el inicio de sesión, la eliminación de cuentas y otros puntos sensibles.

Integridad y transporte

• Las notificaciones de Instagram y los eventos de pago de Stripe solo se aceptan con una firma válida. Los webhooks que enviamos al Cliente están firmados con HMAC-SHA256.
• Las entradas se validan en el servidor. Las direcciones de los webhooks deben ser direcciones HTTPS públicas, para que las solicitudes no puedan redirigirse a nuestra propia red.
• Cabeceras de seguridad en todas las páginas, entre ellas una Content Security Policy, X-Frame-Options y X-Content-Type-Options.
• Un registro de seguridad recoge las acciones importantes de las cuentas, como conectar o quitar cuentas de Instagram, claves de API, invitaciones al equipo y solicitudes de eliminación.

Disponibilidad y recuperación

• Alojamiento en centros de datos de Hetzner en Alemania, detrás de la protección frente a ataques de Cloudflare.
• Copias de seguridad nocturnas de la base de datos, cuya integridad se comprueba, conservadas 30 días en el servidor. Copias externas cifradas en Hetzner, comprobadas con regularidad, que guardan una copia diaria durante 14 días, una semanal durante 8 semanas y una mensual durante 12 meses.
• Supervisión de errores con Sentry y servicios que se reinician automáticamente.

Minimización y supresión de datos

• No se envía ningún dato de Instagram a nuestras herramientas de analítica o publicidad. Nuestro servidor comprueba cada evento de analítica antes de enviarlo.
• Los informes de errores omiten el contenido de las solicitudes, las cookies, los parámetros de URL y las cabeceras distintas del agente de usuario.
• Supresión automática: notificaciones en bruto de Instagram a los 14 días, archivos multimedia de las conversaciones a los 60 días, audio generado de las notas de voz a los 7 días y registros operativos a los 12 meses.

Anexo 2: Subencargados del tratamiento

Lista correspondiente a la versión 2026-10-21.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania
  Finalidad: Servidores, base de datos, almacenamiento de archivos (notas de voz, archivos multimedia de las conversaciones) y copias de seguridad cifradas.
  Ubicación: Centros de datos en Alemania. Mecanismo de transferencia: Ninguna, el tratamiento se realiza en la UE.
  Contrato de encargo del tratamiento del proveedor
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, EE. UU.
  Finalidad: DNS, distribución de contenidos y protección frente a ataques. Todas las solicitudes a elevion.cc pasan por la red de Cloudflare.
  Ubicación: Red mundial, empresa en EE. UU.. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
  Contrato de encargo del tratamiento del proveedor
• Anthropic, PBC, San Francisco, CA, EE. UU.
  Finalidad: Funciones de IA, solo cuando un espacio de trabajo las usa: el asistente de IA para DMs, la redacción de campañas, la traducción de los mensajes de las campañas y la detección del idioma de los comentarios, y el filtro opcional de spam con IA para comentarios.
  Ubicación: EE. UU.. Mecanismo de transferencia: Cláusulas contractuales tipo.
  Contrato de encargo del tratamiento del proveedor
• ElevenLabs, Inc., EE. UU.
  Finalidad: Conversión de texto a voz para las notas de voz, y transcripción de los mensajes de voz que envían las personas y de las grabaciones de voz que sube el cliente.
  Ubicación: EE. UU.. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
  Contrato de encargo del tratamiento del proveedor
• Resend (Plus Five Five, Inc.), EE. UU.
  Finalidad: Emails al cliente y a su equipo, como invitaciones, notificaciones e informes semanales, que pueden contener datos del espacio de trabajo.
  Ubicación: EE. UU.. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
  Contrato de encargo del tratamiento del proveedor
• Functional Software, Inc. (Sentry), San Francisco, CA, EE. UU.
  Finalidad: Informes de errores, que en ocasiones pueden contener partes de los datos del cliente. Antes del envío se eliminan el cuerpo de las solicitudes, las cookies, los parámetros de URL y las cabeceras, salvo el agente de usuario.
  Ubicación: Región de datos de la UE en Alemania, empresa en EE. UU.. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
  Contrato de encargo del tratamiento del proveedor