Contrato de Encargado del Tratamiento (DPA)

Este contrato regula cómo tratamos los datos personales de tus clientes cuando gestionamos tu ficha de Google, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD). Se acepta al contratar el servicio y forma parte de las Condiciones de Venta. En caso de discrepancia entre versiones, prevalece la versión inglesa.

Versión 1.0 · Última actualización: 5 de octubre de 2026

1. Partes y papeles

Responsable del tratamiento: el cliente que contrata el servicio (el titular del negocio), que decide para qué se usan los datos de sus propios clientes.

Encargado del tratamiento: Valensa Consulting LLC, 407 Lincoln Road, Suite 12N, Miami Beach, FL 33139, Estados Unidos, que presta el servicio BravoRank desde la Unión Europea (Portugal). Contacto: info@valensaconsulting.com.

Los datos del propio cliente (su cuenta, facturación y contacto) no se rigen por este contrato: de esos somos responsables y se tratan según nuestra Política de Privacidad.

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable solo para prestar el servicio contratado: gestionar su Perfil de Empresa de Google (actualizar la ficha, publicar, contestar reseñas cuando el Responsable lo ha autorizado), pedir y recoger opiniones de sus clientes, medir su posicionamiento y enseñarle los resultados en su panel e informes.

Este contrato dura lo mismo que la suscripción y sus obligaciones de confidencialidad siguen vigentes después.

3. Qué datos y de quién

Interesados: clientes y potenciales clientes del Responsable que interactúan con su ficha de Google o con su página de opinión (código QR), y las personas de su equipo que usan el panel.
Datos: nombre o alias público y foto de perfil del autor de una reseña, texto, puntuación y fecha de la reseña; los datos que un cliente deja voluntariamente en la página de opinión (por ejemplo, nombre, contacto y comentario); y nombre y email de los usuarios del panel.
No tratamos categorías especiales de datos (salud, ideología, etc.) salvo que un tercero las escriba por su cuenta en una reseña pública; en ese caso solo se leen para contestarla.

4. Obligaciones del Encargado

El Encargado se compromete a:

Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato, las Condiciones de Venta y lo que el Responsable configure en su panel. Si una instrucción le parece contraria al RGPD, lo avisará.
No usar los datos para fines propios ni venderlos o cederlos a terceros.
Garantizar que las personas autorizadas a tratarlos están obligadas a guardar confidencialidad.
Aplicar las medidas de seguridad del apartado 6.
Solo recurrir a los subencargados del apartado 5, en las condiciones allí descritas.
Ayudar al Responsable a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, etc.) y trasladarle sin demora cualquier solicitud que le llegue directamente.
Ayudar al Responsable en sus obligaciones de seguridad, notificación de brechas y, si procede, evaluaciones de impacto.
Notificar al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, con la información disponible para que pueda cumplir sus propias obligaciones.
Al terminar el servicio, y a elección del Responsable, devolver o suprimir los datos en un máximo de 90 días desde la solicitud, salvo que la ley obligue a conservarlos. Las copias de seguridad cifradas se eliminan en su ciclo ordinario, como máximo a los 30 días.
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, preferentemente documentales, con un preaviso de 30 días y a cargo del Responsable.

5. Subencargados

El Responsable da su autorización general para que el Encargado use los siguientes subencargados:

Clouding.io — servidores donde funciona el servicio (Barcelona, España; dentro del EEE).
Google LLC — API del Perfil de Empresa de Google, para leer y actualizar la ficha (EE. UU.).
OpenAI, L.L.C. — redacción de publicaciones y propuestas de respuesta a reseñas (EE. UU.). Los datos enviados por la API no se usan para entrenar modelos.
Resend, Inc. — envío de correos del servicio, como los avisos de reseñas (EE. UU.).
Cloudflare, Inc. — almacenamiento de las copias de seguridad, cifradas antes de salir de nuestros servidores (EE. UU.).

El Encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responde de su cumplimiento. Avisará al Responsable con al menos 15 días de antelación de cualquier alta o cambio de subencargado, publicándolo en esta página o por email; el Responsable puede oponerse por motivos razonables y, si no se llega a una solución, darse de baja sin penalización.

6. Seguridad

Medidas técnicas y organizativas aplicadas, de acuerdo con el artículo 32 del RGPD:

Cifrado de todas las comunicaciones (TLS) y de las copias de seguridad (cifradas con clave propia antes de enviarse fuera del servidor).
Acceso a los datos restringido a las personas que lo necesitan, con credenciales individuales.
Acceso a la ficha de Google mediante el permiso que el Responsable concede desde su propia cuenta, que puede retirar en cualquier momento sin perder la ficha.
Copias de seguridad diarias, que permiten restaurar el servicio ante un incidente.
Registro de las acciones relevantes realizadas sobre la ficha y revisión periódica de las medidas.

7. Transferencias internacionales

Cuando los datos salen del Espacio Económico Europeo (subencargados en EE. UU.), la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o, cuando corresponda, en el Marco de Privacidad de Datos UE-EE. UU.

8. Obligaciones del Responsable

El Responsable garantiza que tiene una base legal para que tratemos los datos de sus clientes y que les informa de ello cuando proceda. Las respuestas a reseñas en su nombre solo se publican si lo ha autorizado expresamente en su panel.

9. Ley aplicable y prevalencia

Este contrato se rige por el RGPD y la normativa de protección de datos aplicable. En materia de protección de datos, prevalece sobre cualquier otro documento del servicio. La autoridad de control principal es la Comissão Nacional de Proteção de Dados (CNPD) de Portugal, sin perjuicio del derecho a reclamar ante la autoridad local (en España, la AEPD).