Contrato de encargo del tratamiento (CET)
Conforme al art. 28 del RGPD
Última actualización: 25 de julio de 2026
Este contrato de encargo del tratamiento («CET») forma parte de las condiciones de uso entre usted, como titular de la cuenta («responsable del tratamiento»), y Fontemia GmbH, como operadora de BgLetter («encargado del tratamiento»). Se aplica automáticamente y sin firma específica desde el momento en que usted hace tratar datos personales de sus destinatarios a través del Channel. Si lo desea, le facilitamos un ejemplar firmado.
1. Objeto, alcance y duración
El objeto del tratamiento es la realización del envío de correo electrónico iniciado por el responsable del tratamiento a través del Channel BgLetter. El encargado del tratamiento no mantiene deliberadamente ninguna gestión de contactos o de direcciones: los datos de los destinatarios los aporta el responsable en cada envío, se tratan exclusivamente para ese envío y se eliminan automáticamente una vez transcurrido el plazo regulado en el apartado 10. El tratamiento se mantiene mientras exista la cuenta y finaliza con su eliminación, sin perjuicio de las obligaciones legales de conservación.
2. Naturaleza y finalidad del tratamiento
Recogida, almacenamiento, personalización, ordenación, traducción y transmisión de los datos de los destinatarios con la finalidad de enviar los mensajes creados por el responsable del tratamiento a través de su propio proveedor de correo; asimismo, el registro de los eventos de entrega, apertura, clic y baja, la llevanza de la lista de bajas y el registro técnico para el análisis de errores y la prevención de usos indebidos.
3. Categorías de interesados y de datos
Los interesados son los destinatarios de sus mensajes determinados por el responsable del tratamiento. Categorías de datos tratadas: dirección de correo electrónico, nombre y los campos de personalización aportados por el responsable, así como indicaciones de idioma y de país y datos de eventos de entrega, apertura, clic y baja. El responsable del tratamiento no puede hacer tratar a través del Channel categorías especiales de datos personales conforme al art. 9 del RGPD ni datos conforme al art. 10 del RGPD.
4. Sujeción a instrucciones
El encargado del tratamiento trata los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, salvo que esté obligado a tratarlos en virtud del derecho de la Unión o de los Estados miembros; en tal caso comunicará al responsable esos requisitos legales antes del tratamiento, salvo que el derecho aplicable lo prohíba por razones importantes de interés público. La utilización de las funciones del Channel se considera una instrucción. Las instrucciones individuales requieren forma escrita. El encargado del tratamiento informará sin demora al responsable si considera que una instrucción infringe la normativa de protección de datos; podrá suspender su ejecución hasta que se aclare.
5. Confidencialidad
El encargado del tratamiento garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de secreto adecuada, y que han recibido formación en la normativa de protección de datos aplicable. El círculo de personas con acceso está limitado al mínimo necesario para la ejecución del contrato.
6. Medidas técnicas y organizativas (art. 32 del RGPD)
El encargado del tratamiento adopta, en particular, las siguientes medidas: transmisión cifrada de todos los datos (TLS); almacenamiento cifrado de las credenciales de la cuenta de correo (AES-256) y almacenamiento de las contraseñas únicamente como valor hash; estricta separación de clientes a nivel de base de datos; control de acceso basado en roles y autenticación en dos pasos opcional; registro de los procesos relevantes para la seguridad; endurecimiento de los servidores, cortafuegos, límites de frecuencia y detección de usos indebidos; copias de seguridad periódicas de los datos del sistema; minimización de datos mediante la eliminación automática a los 30 días; ubicación de los servidores en Alemania. El encargado del tratamiento puede seguir desarrollando estas medidas siempre que no se reduzca el nivel de protección.
7. Subencargados del tratamiento
El responsable del tratamiento otorga la autorización general para recurrir a los siguientes subencargados: un proveedor de alojamiento con servidores en Alemania para la operación de la infraestructura y Anthropic para las funciones opcionales de IA (traducción y asistente), transmitiéndose en este caso exclusivamente contenidos de los mensajes y ninguna dirección de destinatario. La gestión de los pagos a través de PayPal afecta únicamente a datos del propio responsable del tratamiento y se realiza bajo su propia responsabilidad. El proveedor de correo elegido por el responsable no es un subencargado del encargado del tratamiento, sino que está bajo la responsabilidad del propio responsable. El encargado del tratamiento informará por escrito de los cambios previstos con al menos 30 días de antelación; el responsable podrá oponerse por un motivo importante relacionado con la protección de datos y, en ese caso, resolver el contrato.
8. Asistencia al responsable del tratamiento
El encargado del tratamiento asiste al responsable, mediante medidas técnicas y organizativas adecuadas, en la respuesta a las solicitudes de los interesados (arts. 12 a 23 del RGPD) y en el cumplimiento de las obligaciones de los arts. 32 a 36 del RGPD, en la medida en que resulte razonable y disponga de la información necesaria. Si un interesado se dirige directamente al encargado del tratamiento, este trasladará la solicitud sin demora al responsable. El encargado del tratamiento podrá facturar según el esfuerzo las prestaciones de asistencia que excedan del alcance previsto en el art. 28 del RGPD.
9. Notificación de violaciones de la seguridad de los datos personales
El encargado del tratamiento comunicará al responsable, sin demora y a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella, por escrito, toda violación de la seguridad de los datos personales de la que tenga conocimiento, y pondrá a su disposición la información de que disponga y que el responsable necesite para cumplir sus propias obligaciones de notificación conforme a los arts. 33 y 34 del RGPD. La obligación de notificación ante la autoridad de control y ante los interesados corresponde exclusivamente al responsable del tratamiento.
10. Supresión y devolución
Los datos de los destinatarios, los contenidos de los mensajes y los datos de eventos se eliminan de forma automática e irreversible como máximo 30 días después del envío correspondiente. Tras la finalización del contrato, el encargado del tratamiento eliminará todos los datos personales restantes en un plazo de 30 días, siempre que no exista una obligación legal de conservación; las copias de seguridad se sobrescriben en el marco de los ciclos habituales de respaldo. El responsable del tratamiento está obligado a salvaguardar los datos que necesite mediante las funciones de exportación antes de que venzan estos plazos. De forma permanente solo se conserva la lista de bajas, para cumplir las obligaciones derivadas del art. 21 del RGPD.
11. Acreditaciones y auditorías
El encargado del tratamiento pone a disposición del responsable toda la información necesaria para acreditar el cumplimiento de las obligaciones del art. 28 del RGPD, por regla general mediante una descripción actualizada de las medidas técnicas y organizativas y mediante información por escrito. Si en un caso concreto estas acreditaciones no fueran suficientes, el encargado del tratamiento permitirá una auditoría previo aviso con un plazo razonable, en horario comercial habitual, como máximo una vez al año, sin perturbación de la actividad, preservando la confidencialidad y los derechos de otros clientes, y a costa del responsable. Las auditorías realizadas por terceros exigen su compromiso de confidencialidad; quedan excluidos los competidores.
12. Obligaciones del responsable del tratamiento
El responsable del tratamiento es el único responsable de la licitud del tratamiento. En particular, garantiza que para cada contacto existe una base jurídica válida —en especial un consentimiento demostrable—, que informa de forma transparente a los destinatarios, que atiende los derechos de los interesados, que respeta las oposiciones y que no transmite categorías especiales de datos personales. Lleva por sí mismo el registro de actividades de tratamiento correspondiente a sus tratamientos y valora bajo su propia responsabilidad la necesidad de una evaluación de impacto relativa a la protección de datos.
13. Responsabilidad
La responsabilidad en la relación entre las partes se rige por las condiciones de uso; el art. 82 del RGPD permanece intacto. En la relación interna, cada parte asume la parte del daño que corresponda a su contribución. El responsable del tratamiento mantiene indemne al encargado frente a las reclamaciones que se basen en que los datos aportados o las instrucciones impartidas por él eran ilícitos.
14. Transferencia internacional
El tratamiento se realiza en servidores situados en Alemania (UE/EEE). El encargado del tratamiento tiene su domicilio en Suiza, país respecto del cual existe una decisión de adecuación de la Comisión Europea (art. 45 del RGPD). Una transferencia a un tercer país sin decisión de adecuación solo se produce en el marco de las funciones opcionales de IA y está amparada por las cláusulas contractuales tipo de la Comisión Europea.
15. Disposiciones finales
Las modificaciones de este CET requieren forma escrita. En caso de contradicción, las disposiciones de este CET prevalecen sobre las condiciones de uso en el ámbito del encargo del tratamiento. Si alguna disposición fuera ineficaz, la validez de las restantes no se verá afectada. Prevalece la versión alemana.
16. Contacto
Si tiene preguntas sobre este CET, diríjase a:
Esta página tiene carácter informativo y no constituye asesoramiento jurídico.
Véase también: Condiciones de uso · Política de privacidad · Aviso legal