Anexo de Tratamiento de Datos

El cliente es el responsable del tratamiento o el encargado que determina la finalidad permitida y la configuración. BetterMeter es el encargado o subencargado respecto de los datos de analítica del cliente y los trata únicamente conforme a instrucciones documentadas, incluidos el contrato, la configuración del producto, las solicitudes de soporte y las acciones lícitas de los usuarios.

La Legislación de Protección de Datos aplicable comprende las normas de privacidad y protección de datos que rigen el tratamiento, incluido el RGPD cuando resulte aplicable. Si una instrucción pareciera infringir la legislación aplicable, BetterMeter lo comunicará al cliente salvo que tenga prohibido hacerlo.

El tratamiento se mantiene durante la vigencia del servicio y cualquier período limitado de conservación que se describe a continuación. La finalidad es recibir, proteger, clasificar, almacenar, consultar, mostrar, exportar y suprimir datos de analítica y de configuración, así como operar las integraciones y el análisis asistido por IA solicitados por el cliente.

• Interesados: visitantes y usuarios de las propiedades del cliente, personal del cliente y personas representadas en los registros de CRM o de publicidad conectados por el cliente.
• Datos de eventos: URL y referentes sin cadena de consulta, eventos, marcas de tiempo, datos de campaña, datos de dispositivo y navegador, geografía derivada en el borde de la red, señales de automatización y propiedades proporcionadas por el cliente.
• Identificadores y perfiles: identificadores seudónimos limitados al sitio, ID externos opacos opcionales, nombres para mostrar, etapas del ciclo de vida, propiedades de visitante y relaciones de sesión.
• Datos opcionales: identificadores duraderos de clic publicitario y atribución derivada de _fbp, señales de huella digital y de comportamiento, metadatos de conversión de CRM, datos de entrega y de creatividades publicitarias, capturas de pantalla, y prompts, resultados de herramientas y contenido de conversaciones de Pulse.
• Los datos sensibles no están previstos para el servicio salvo acuerdo expreso por escrito.

• El cliente facilitará instrucciones lícitas y una base jurídica adecuada, y proporcionará a los interesados los avisos y las opciones exigidos.
• El cliente configurará las funciones opcionales de identify, atribución, huella digital, comportamiento, integración e IA de forma coherente con la legislación aplicable.
• El cliente no enviará datos que no esté facultado para tratar y evitará identificadores directos o sensibles cuando baste con un valor opaco.
• El cliente es responsable de atender las solicitudes de los interesados en calidad de responsable del tratamiento; BetterMeter prestará una asistencia razonable.

El personal autorizado para tratar datos personales del cliente está sujeto a un deber de confidencialidad. BetterMeter mantiene medidas técnicas y organizativas adecuadas al riesgo y las revisa periódicamente.

• TLS para los datos en tránsito y cifrado en reposo gestionado por el proveedor.
• Acceso al producto basado en funciones, acceso administrativo autenticado, prácticas de mínimo privilegio y autorización limitada al sitio.
• Identificadores seudónimos HMAC-SHA-256; las direcciones IP en bruto no se conservan en el almacenamiento de analítica.
• Claves de API con hash y credenciales de integración del cliente cifradas.
• Eliminación de la cadena de consulta y del fragmento en las URL de página y los referentes almacenados, flujos de eventos en tiempo real acotados, controles de registro, copias de seguridad, supervisión y respuesta ante incidentes.

El cliente otorga una autorización general para los subencargados necesarios para prestar el servicio configurado. Entre los proveedores principales figuran Vercel, Neon, Upstash y Vercel Blob. La autenticación y la comunicación pueden utilizar Google, GitHub y Resend; la facturación utiliza Stripe.

Las funciones configuradas pueden utilizar OpenRouter y un proveedor de modelo seleccionado, SerpAPI, DataForSEO, Cloro, Meta o HubSpot. BetterMeter exige a los subencargados obligaciones adecuadas de protección de datos y sigue siendo responsable de sus propias obligaciones conforme a este DPA. Mantendremos una lista pública actualizada y avisaremos de los cambios sustanciales a través del servicio o del contacto registrado de la cuenta cuando así se exija.

Los datos del cliente pueden tratarse en Canadá, Estados Unidos y otros lugares en los que opere un proveedor autorizado. BetterMeter utilizará un mecanismo de transferencia lícito cuando resulte exigible, que puede incluir decisiones de adecuación, las Cláusulas Contractuales Tipo de la Comisión Europea u otra salvaguarda reconocida.

A solicitud, las partes cumplimentarán la información razonablemente necesaria para el mecanismo de transferencia aplicable. La configuración del cliente y la integración seleccionada determinan las rutas de transferencia utilizadas.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, BetterMeter asistirá razonablemente al cliente en las solicitudes de los interesados, las obligaciones de seguridad, las evaluaciones de impacto relativas a la protección de datos y las consultas a las autoridades de control exigidas por la legislación aplicable. BetterMeter podrá requerir verificación y podrá cobrar costes razonables por una asistencia excepcional que exceda las capacidades estándar del producto, cuando la ley lo permita.

BetterMeter notificará al cliente sin dilación indebida tras confirmar una violación de la seguridad de los datos personales que afecte a los datos del cliente y facilitará la información disponible que resulte razonablemente necesaria para la evaluación y las notificaciones del cliente. La notificación no constituye un reconocimiento de culpa. El cliente es responsable de sus propias notificaciones a las autoridades de control y a los interesados.

La conservación de eventos sigue el plan activo del cliente: Free 30 días, Starter 365 días, Pro 730 días y Business sin límite fijo de conservación de eventos mientras esté activo. Otros registros pueden seguir períodos operativos, contractuales, de seguridad, fiscales o legales distintos.

El cliente puede exportar los datos de su cuenta y suprimir una cuenta que reúna los requisitos desde la configuración. Tras una instrucción verificada de terminación o supresión, BetterMeter suprimirá o devolverá los datos personales del cliente según lo exijan el contrato y la legislación aplicable, salvo los datos que deban conservarse o que permanezcan temporalmente en copias de seguridad protegidas, colas o sistemas de proveedores sujetos a una expiración controlada.

BetterMeter facilitará la información razonablemente necesaria para demostrar el cumplimiento de este DPA. Las auditorías deben proteger a los demás clientes, la seguridad, la confidencialidad y la disponibilidad del servicio; las partes recurrirán primero a las certificaciones, los informes, las políticas y las respuestas por escrito vigentes cuando resulten suficientes.

Si este DPA entra en conflicto con el contrato en materia de tratamiento de datos personales del cliente, prevalecerá este DPA. La normativa imperativa y un mecanismo de transferencia formalizado prevalecerán sobre cualquier disposición incompatible. Los cambios se publicarán con una fecha revisada y se tratarán conforme a las condiciones de notificación del contrato.