Acuerdo de Procesamiento de Datos
Última actualización: 17 de septiembre de 2026
Versión 1.1
Este Acuerdo de Procesamiento de Datos (APD) rige los datos personales que OwnersPal procesa en tu nombre cuando usas el Servicio. Si eres una pequeña empresa con sede en Estados Unidos, lo más probable es que no necesites una copia firmada — pero está aquí por si tus clientes, tu equipo legal o tu aseguradora la solicitan. Los términos a continuación reflejan el APD de procesador estándar de la IAPP, ajustado a la lista de subencargados de OwnersPal en /subprocessors.
Registro de cambios
La versión 1.1 solo añade divulgaciones: no crea obligaciones nuevas para ti y no hay nada que aceptar de nuevo. v1.1 — 17 de septiembre de 2026. Qué cambió desde la v1.0 (14 de julio de 2026): • Anexo 1: un registro de tratamiento para la medición de conversiones publicitarias: qué se envía a Meta y Google para tus propias cuentas publicitarias (un identificador de clic más un hash SHA-256 del correo electrónico o del teléfono facilitado con una reserva, nunca el correo ni el número), la frecuencia diaria, la ventana de 30 días (7 días para Meta) y la condición de consentimiento de marketing. (PR #2284, 13 de septiembre de 2026.) • Cláusula 2.7 del DPA descargable: capturas de pantalla de diagnóstico opcionales adjuntas a los informes de problemas, que pueden contener de forma incidental datos personales visibles en pantalla, con su plazo de conservación y su vía de eliminación. (PR #2040, 19 de agosto de 2026.) • Cláusula 2: la descripción de lo que tratamos en tu nombre ahora menciona la importación de los testimonios que publicas en tu propio sitio web, la gestión de reservas, la recepción de pedidos y presupuestos, y la lista de espera. (PR #2284, 13 de septiembre de 2026.) • Cláusula 10: el informe de eliminación que se muestra cuando eliminas tu cuenta tú mismo y el resumen enviado a la dirección de correo de la cuenta. (PR del informe de eliminación de cuenta, 27 de septiembre de 2026.) • Cláusula 2: las categorías de datos incluyen ahora el importe de la venta que puedes registrar para un cliente potencial que se convirtió en tu cliente. (PR de la página de valor de clientes potenciales, 27 de septiembre de 2026.) • Sin cambios en la v1.1: las cláusulas sobre las solicitudes de privacidad de las personas que visitan tu sitio web, que ya nos comprometen a ayudarte a responderlas. v1.0 — 14 de julio de 2026. La primera versión registrada con una constancia de aceptación en el servidor.
Cómo usar esta página
Léelo una vez. Si tus políticas requieren un instrumento totalmente ejecutado, descarga el Markdown, fírmalo como contraparte y envíalo por correo a privacy@ownerspal.app. Lo firmaremos como contraparte y te lo devolveremos en un plazo de cinco días hábiles. De lo contrario, tu uso del Servicio constituye la aceptación.
Descargar APD (Markdown)1. Alcance y roles
Cuando utiliza OwnersPal, usted (el Cliente) es el responsable del tratamiento de cualquier dato personal que envíe: las reseñas, los testimonios de clientes que publica en su propio sitio web, los clientes potenciales, las listas de contactos y los tokens de cuentas publicitarias de sus clientes, así como las reservas, los pedidos, las solicitudes de presupuesto y las inscripciones en lista de espera que sus clientes envíen a través de su sitio web de OwnersPal. OwnersPal es el encargado del tratamiento de esos datos. Este DPA cubre el RGPD, el RGPD del Reino Unido, la CCPA/CPRA y otras leyes de privacidad comparables en la medida en que le sean aplicables. No cubre los datos que OwnersPal recopila directamente de usted en calidad de responsable (correo de facturación, inicio de sesión, analíticas del producto): eso se trata en nuestra Política de Privacidad publicada.
2. Objeto, duración, naturaleza y finalidad
Objeto: los datos personales que usted o sus usuarios finales envían al Servicio. Duración: mientras su suscripción esté activa, más cualquier conservación posterior a la terminación necesaria para la eliminación o exportación. Naturaleza y finalidad: prestar el Servicio (generación de contenido, gestión de publicidad, monitorización de reseñas, importación de los testimonios que publica en su propio sitio web, captación de clientes potenciales, gestión de reservas, recepción de pedidos y presupuestos, gestión de listas de espera, fichas, analíticas y cualquier tratamiento auxiliar estrictamente necesario para ofrecer esas funciones). Interesados: sus clientes y posibles clientes, además de su propio personal que utiliza OwnersPal. Categorías de datos: nombres, direcciones de correo electrónico, números de teléfono, direcciones postales, texto libre de los formularios de captación, el importe de la venta que registras para un cliente potencial que se convirtió en tu cliente, datos de reservas y citas (por ejemplo, la hora solicitada y el número de comensales), texto libre de pedidos y presupuestos, contenido de reseñas públicas, testimonios de clientes publicados en su sitio web (incluidos los nombres y las palabras de los clientes tal como usted los publicó), metadatos de fichas públicas y tokens de acceso a plataformas publicitarias que usted autorice. No envíe datos de categorías especiales (salud, biométricos, etc.) salvo que lo hayamos acordado por escrito. El Servicio también genera estadísticas agregadas de su sitio web publicado: contadores diarios de páginas vistas y toques en botones con una fuente de tráfico aproximada (un dominio de referencia o «directo»). Estos contadores no usan cookies ni identificadores de dispositivo, no conservan direcciones IP, no pueden vincularse a ninguna persona y se conservan durante 13 meses continuos. Si un usuario que informa de un problema lo acepta expresamente (mediante un aviso de consentimiento mostrado antes de cualquier captura), también procesamos una captura de pantalla de diagnóstico de la página que estaba viendo, que puede incluir de forma incidental datos personales visibles en pantalla; las capturas se guardan en un almacenamiento con acceso controlado, se eliminan automáticamente a más tardar a los 90 días (las subidas nunca adjuntadas a un informe, en unas 24 horas) y se eliminan al borrar la cuenta. La medición de conversiones publicitarias se describe en el Anexo 1.
3. Instrucciones del cliente
OwnersPal procesa datos personales solo según tus instrucciones documentadas. Los ajustes que configuras en el panel de OwnersPal — conexiones de plataformas, definiciones de audiencia, reglas de aprobación, acciones administrativas — son tus instrucciones documentadas para el Artículo 28(3)(a) del RGPD. Si en algún momento consideramos que alguna de esas instrucciones es ilícita, te lo haremos saber de inmediato; no damos asesoría legal.
4. Subencargados
La lista actual de subencargados de OwnersPal está en la página /subprocessors. Es la fuente única de verdad — la actualizamos cada vez que cambia un proveedor. Te avisaremos con al menos 30 días de anticipación antes de añadir un nuevo subencargado; si te opones por escrito durante ese plazo y no llegamos a un acuerdo, puedes cancelar la parte afectada del Servicio. OwnersPal sigue siendo responsable ante ti de todo lo que hagan nuestros subencargados.
5. Medidas de seguridad
OwnersPal mantiene salvaguardas técnicas y organizativas apropiadas: TLS 1.2+ en tránsito y AES-256 en reposo; acceso de mínimo privilegio con registro de auditoría; revisiones de acceso trimestrales; capacitación por escrito en confidencialidad y privacidad para el personal; escaneo de dependencias y gestión de parches; copias de seguridad y recuperación ante desastres adecuadas para un SaaS de esta escala. Las medidas anteriores son nuestros compromisos a la fecha indicada arriba y pueden evolucionar, pero no se debilitarán de forma sustancial.
6. Vulneración de datos personales
Si confirmamos una vulneración de datos personales que afecte tus datos, te notificaremos sin demora indebida y dentro de las 72 horas. El aviso incluirá lo que sepamos en ese momento: la naturaleza de la vulneración, las categorías y el número aproximado de registros afectados, las consecuencias probables y lo que hemos hecho al respecto.
7. Solicitudes de los interesados
Te ayudaremos a responder a las solicitudes que tus clientes hagan para ejercer sus derechos — acceso, rectificación, supresión, limitación, portabilidad, oposición. Si recibimos una solicitud directamente sobre tus datos, te la reenviaremos y no responderemos en tu nombre salvo que estemos legalmente obligados a hacerlo. Cuando un visitante de un sitio web que OwnersPal aloja para ti usa su formulario "Tus opciones de privacidad", OwnersPal te entrega la solicitud por correo electrónico y en tu bandeja de entrada de OwnersPal, y no la responde en tu nombre. OwnersPal conserva un registro de cada solicitud (su referencia, tipo, mensaje opcional, una huella unidireccional del correo del visitante y la fecha de recepción) durante 24 meses para ayudarte a responder y documentar los plazos de respuesta; después elimina el mensaje y la huella. El nombre y el correo del visitante permanecen en tu bandeja de entrada.
8. Transferencias internacionales
Cuando los datos personales salen del EEE, el Reino Unido o Suiza en el curso de la prestación del Servicio, OwnersPal usa un mecanismo de transferencia válido — incluidas las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión) y el IDTA del Reino Unido — incorporadas aquí por referencia. Estás celebrando el/los módulo(s) pertinente(s) de esas cláusulas con OwnersPal y autorizando a OwnersPal a celebrarlas con nuestros subencargados en tu nombre.
9. Auditoría
Ponemos a disposición la información necesaria para demostrar que cumplimos este APD, incluidas respuestas por escrito a cuestionarios de seguridad razonables. Si obtenemos un informe SOC 2 / ISO 27001, compartirlo bajo un acuerdo de confidencialidad satisface tu derecho de auditoría conforme al Art. 28(3)(h) del RGPD. De lo contrario, puedes auditar en el sitio una vez cada doce meses con 30 días de aviso, a tu cargo, durante el horario comercial habitual — sin interrumpir las operaciones ni acceder a los datos de otros clientes.
10. Devolución y eliminación de datos
Cuando finaliza tu suscripción, eliges — en un plazo de 45 días — entre (a) una exportación legible por máquina de tus datos personales, o (b) su eliminación con un certificado por escrito. Si estamos legalmente obligados a conservar algo por más tiempo, lo mantenemos bajo las protecciones de este APD. También podemos conservar registros de auditoría con hash salado estrictamente para prevención de abuso y defensa legal (la actualización de reforzamiento de PII de mayo de 2026 reemplazó el correo electrónico en texto plano por hashes HMAC-SHA256 en el registro de auditoría de eliminación de cuentas) — esos registros no son datos personales de la persona eliminada. Cuando eliminas tu cuenta tú mismo desde los ajustes, en ese momento te mostramos un informe de eliminación (por categorías: qué se eliminó, dónde estaba guardado y qué conservamos nosotros o nuestros subencargados, por qué y hasta cuándo, con descarga en hoja de cálculo) y enviamos el mismo resumen a la dirección de correo de la cuenta. No guardamos ninguna copia del informe.
11. Plazo
Este APD entra en vigor en la fecha indicada arriba y rige durante el plazo de tu suscripción. Las secciones 6, 7, 9, 10 y cualquier otra que por su naturaleza deba subsistir, subsisten.
Anexo 1. Registro de tratamiento: medición de conversiones publicitarias
Finalidad: medir las conversiones de anuncios para sus propias cuentas de Meta y Google Ads, de modo que pueda ver qué campañas generaron una reserva real. Datos personales: un hash SHA-256 de la dirección de correo electrónico y del número de teléfono que su cliente indicó en la reserva, calculado en memoria en el momento del envío y nunca almacenado ni registrado por OwnersPal (la dirección de correo electrónico y el número de teléfono en sí nunca se envían); el identificador de clic del anuncio de su visita (gclid para Google, fbclid para Meta), y la hora en que se realizó la reserva. No se envía ningún importe de la reserva. Google recibe los hashes solo cuando su cuenta de Google Ads indica que ha aceptado las condiciones de datos de clientes de Google; de lo contrario, recibe únicamente el identificador de clic. Interesados: sus clientes que realizaron una reserva (confirmada o completada) en su sitio web de OwnersPal después de hacer clic en uno de sus anuncios. Destinatarios: Meta Platforms (Conversions API) y Google (conversiones de clics sin conexión de Google Ads), cada uno de los cuales recibe los datos para su propia cuenta publicitaria. Frecuencia: una vez al día, mediante un proceso automatizado. Conservación: ninguna por parte de OwnersPal para los valores con hash. Una reserva solo puede enviarse dentro de los 30 días siguientes a su creación (7 días en el caso de Meta). OwnersPal conserva únicamente un registro de envío (id de la reserva, plataforma y estado). Eliminar la reserva, incluso mediante una solicitud de supresión, la borra junto con su registro de envío, por lo que nunca se envía después; desconectar su cuenta publicitaria detiene todos los envíos. Condición: el visitante aceptó las cookies de marketing en su sitio web y su navegador no envió ninguna señal Global Privacy Control. Las reservas sin un identificador de clic obtenido con ese consentimiento nunca se envían.
Preguntas, respuestas de auditoría o una copia firmada: