Acuerdo de Tratamiento de Datos (DPA)

3.1 — Doble condición de ENROW

Las Partes reconocen que ENROW actúa en dos calidades distintas:

(a) Responsable del Tratamiento independiente: ENROW actúa como Responsable del Tratamiento respecto de los Datos Personales que recopila, agrega y mantiene en su propia base de datos de enriquecimiento (emails profesionales, números de teléfono, perfiles de LinkedIn, información de empresa). Dicho tratamiento se fundamenta en el interés legítimo de ENROW (artículo 6(1)(f) del RGPD), documentado en una LIA revisada anualmente.

(b) Encargado del Tratamiento: ENROW actúa como Encargado del Tratamiento en el sentido del artículo 28 del RGPD cuando trata los Datos del Cliente (datos transmitidos por el Cliente para su enriquecimiento) por cuenta y siguiendo las instrucciones del Cliente.

3.2 — El Cliente como Responsable del Tratamiento

El Cliente actúa como Responsable del Tratamiento respecto de:

• Los Datos del Cliente que transmite a ENROW para su enriquecimiento;
• El uso que hace de los Datos Enriquecidos devueltos por el Servicio.

El Cliente determinará por sí solo los fines y los medios del uso que haga de los Datos Enriquecidos una vez prestado el Servicio y será el único responsable, a este respecto, del cumplimiento de sus obligaciones en virtud del RGPD y de la Ley de Protección de Datos francesa.

5.1 — Instrucciones del Cliente

ENROW solo tratará los Datos del Cliente siguiendo las instrucciones documentadas del Cliente. Las presentes Condiciones y el presente DPA constituyen las instrucciones iniciales del Cliente. Toda instrucción adicional deberá transmitirse por escrito (por email a dpo@enrow.io).

Si ENROW considera que una instrucción constituye una infracción del RGPD o de cualquier otra normativa aplicable, informará de ello al Cliente de inmediato por escrito.

5.2 — Confidencialidad

ENROW garantiza que las personas autorizadas a tratar Datos Personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad apropiada. Únicamente tendrán acceso las personas cuyo acceso sea estrictamente necesario para la ejecución del Servicio.

5.3 — Seguridad del tratamiento

ENROW aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD. Dichas medidas se describen en el Anexo 2 del presente DPA. ENROW llevará a cabo revisiones periódicas de la eficacia de tales medidas.

5.4 — Notificación de Violación de Datos

En caso de Violación de Datos que afecte a los Datos del Cliente, ENROW se compromete a:

• Notificar al Cliente sin dilación indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de ella;
• Facilitar la siguiente información: una descripción de la naturaleza de la violación (categorías y número aproximado de Interesados y de registros afectados), las consecuencias probables, las medidas adoptadas o propuestas para subsanar la violación y los datos de contacto del DPO;
• Documentar la violación en un registro interno y cooperar con el Cliente para permitirle cumplir con sus propias obligaciones de notificación (artículos 33 y 34 del RGPD);
• Notificar a la CNIL en un plazo de 72 horas, en su condición de Responsable del Tratamiento respecto de los datos que conserva en su propia base de datos de enriquecimiento.

5.5 — Asistencia al Cliente

ENROW asistirá al Cliente, en la medida en que sea razonablemente posible y atendiendo a la naturaleza del tratamiento, para:

• Responder a las solicitudes de los Interesados para el ejercicio de sus derechos (acceso, rectificación, supresión, oposición, portabilidad, limitación);
• Cumplir con sus obligaciones en virtud de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto relativa a la protección de datos);
• Responder a las solicitudes y auditorías de cualquier Autoridad de Control.

Si ENROW recibe una solicitud directamente de un Interesado relativa a los Datos del Cliente, informará al Cliente sin dilación indebida y no responderá directamente salvo instrucción del Cliente.

5.6 — Destino de los datos al finalizar el contrato

De conformidad con la Cláusula 14.3 de las Condiciones, a la resolución del Contrato:

• Exportación: el Cliente dispondrá de treinta (30) días para exportar sus Datos del Cliente en formato CSV y/o JSON a través del Software, la API o previa solicitud a support@enrow.io;
• Eliminación: transcurrido dicho plazo, ENROW eliminará de forma definitiva la totalidad de los Datos del Cliente, incluidas las copias y las copias de seguridad, dentro de un plazo adicional de treinta (30) días;
• Certificación: ENROW facilitará al Cliente, previa solicitud, un certificado escrito de eliminación.

La eliminación de los Datos del Cliente no afectará a los datos anonimizados y agregados utilizados de conformidad con la Cláusula 9.6 de las Condiciones.

7.1 — Autorización general

El Cliente otorga por la presente a ENROW una autorización general para recurrir a Subencargados en la prestación del Servicio (incluidos, entre otros, los Proveedores Terceros de enriquecimiento y los proveedores de alojamiento). La lista de Subencargados actualmente contratados figura en el Anexo 3 del presente DPA y también está disponible a solicitud dirigida al DPO.

7.2 — Notificación y derecho de oposición

De conformidad con la Cláusula 12.2 de las Condiciones, ENROW notificará al Cliente cualquier cambio en los Subencargados (ya sea por adición o sustitución) con una antelación no inferior a quince (15) días respecto de la fecha de efectividad de dicho cambio. El Cliente podrá oponerse por escrito en el plazo de quince (15) días. A falta de acuerdo, la oposición se considerará constitutiva de un preaviso de resolución del Contrato de conformidad con la Cláusula 12.2 de las Condiciones.

7.3 — Obligaciones impuestas a los Subencargados

ENROW impondrá contractualmente a cada Subencargado obligaciones de protección de datos sustancialmente equivalentes a las contenidas en el presente DPA, en particular en materia de confidencialidad, seguridad, limitación de la finalidad y supresión de los datos.

7.4 — Responsabilidad

ENROW seguirá siendo plenamente responsable frente al Cliente del cumplimiento por parte de sus Subencargados de sus obligaciones en materia de protección de datos.

13.1 — Jerarquía

El presente DPA forma parte integrante del Contrato. En caso de contradicción entre el presente DPA y los Términos, prevalecerá el presente DPA en toda cuestión relativa al tratamiento de Datos Personales. En todo lo demás, prevalecerán los Términos.

13.2 — Modificación

ENROW podrá modificar el presente DPA con el fin de cumplir con los cambios en la normativa aplicable. Toda modificación sustancial será notificada al Cliente treinta (30) días antes de su entrada en vigor.

13.3 — Ley aplicable

El presente DPA se regirá por la ley francesa. Los tribunales de París tendrán jurisdicción exclusiva.

A. Cifrado

• En tránsito: todas las comunicaciones se cifran mediante TLS 1.2 o superior (HTTPS). Las conexiones no cifradas se rechazan.
• En reposo: los datos almacenados se cifran mediante AES-256 (cifrado nativo de AWS).
• Contraseñas: hash irreversible mediante el algoritmo bcrypt con salting individual.

B. Control de acceso

• Autenticación: identificación por email y contraseña, con autenticación multifactor (MFA) disponible y recomendada.
• Gestión de accesos: modelo RBAC (Role-Based Access Control) estricto. Cada permiso de acceso se limita a lo estrictamente necesario (principio de mínimo privilegio).
• Sesiones: tokens JWT firmados con expiración automática.

C. Infraestructura y alojamiento

• Proveedor de alojamiento: Amazon Web Services (AWS), región eu-west-3 (París). AWS cuenta con las certificaciones ISO 27001, SOC 1/2/3 y cumple el RGPD.
• Aislamiento de red: las bases de datos y los servicios internos están aislados dentro de una Virtual Private Cloud (VPC), sin acceso público directo.
• Copias de seguridad: copias automáticas diarias, cifradas, con retención configurada.

D. Registro y supervisión

• Registros de acceso: trazabilidad de las acciones de los usuarios (identificador, acción, fecha y hora, dirección IP). Registros cifrados en reposo.
• Monitorización: supervisión continua de la infraestructura con alertas automatizadas en caso de anomalías.

E. Minimización y conservación

• Solo se recogen y tratan los datos estrictamente necesarios para la prestación del Servicio;
• Datos del Cliente: máximo 90 días, seguidos de supresión automática;
• Caché técnica: 48 horas;
• Supresión efectiva e irreversible al finalizar el periodo de conservación.

F. Seguridad organizativa

• Formación de concienciación sobre protección de datos para todo el personal;
• Política de contraseñas robustas para los accesos internos;
• Principio de mínimo privilegio aplicado en todos los equipos;
• Compromiso de confidencialidad firmado por cada miembro del personal con acceso a Datos Personales.

G. Gestión de incidentes

• Procedimiento interno de gestión de incidentes de seguridad;
• Notificación al Cliente en un plazo de 72 horas (cláusula 5.4 del presente DPA);
• Registro de violaciones mantenido y actualizado.

Estas medidas se revisan y actualizan periódicamente para tener en cuenta el estado de la técnica, los costes de aplicación y la naturaleza de los riesgos.

Parte A — Subencargados publicados (lista en vigor a 20 de junio de 2026)

Parte B — Proveedores de enriquecimiento de datos (lista confidencial)

En el marco de la prestación del Servicio de enriquecimiento, ENROW recurre a proveedores especializados en las siguientes categorías:

Confidencialidad de la lista nominativa: la lista nominativa completa de los proveedores de enriquecimiento, incluidos su identidad, su ubicación y el mecanismo de transferencia aplicable, constituye un secreto empresarial de ENROW en el sentido de la Directiva (UE) 2016/943 relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados, y de la Ley n.º 2018-670 de 30 de julio de 2018 que transpone dicha Directiva al Derecho francés.

Comunicación al Cliente: dicha lista se comunicará previa solicitud escrita al DPO (dpo@enrow.io), sujeta a la firma previa de un acuerdo de confidencialidad (NDA) por parte del Cliente. El Cliente se compromete a no divulgar dicha lista ni la información contenida en ella a ningún tercero, y a utilizarla únicamente a efectos de verificar el cumplimiento del RGPD por parte de ENROW.

Derecho de oposición: el mecanismo de notificación y de derecho de oposición previsto en la cláusula 7.2 del presente DPA y en la cláusula 12.2 de los Términos se aplica íntegramente a los proveedores de enriquecimiento. El Cliente será notificado de cualquier cambio con una antelación no inferior a quince (15) días respecto de la fecha de efecto, incluso cuando el nombre del nuevo proveedor se comunique bajo NDA.

Garantías comunes: ENROW garantiza que cada proveedor de enriquecimiento (a) está vinculado contractualmente por obligaciones de protección de datos sustancialmente equivalentes a las contenidas en el presente DPA, (b) está ubicado dentro del EEE o cubierto por un mecanismo de transferencia conforme al capítulo V del RGPD, y (c) trata los Datos Personales únicamente dentro del ámbito estricto de las instrucciones de ENROW y con la única finalidad del enriquecimiento.