Acuerdo de tratamiento de datos (DPA)

Versión: 1.0 · Fecha de entrada en vigor: 2026-08-18 · RGPD artículo 28

Entre el Cliente (responsable del tratamiento) y TriStiX S.L. (NIF ESB26925016), Avenida Maisonnave 41, 3º H, 03003 Alicante/Alacant, España (encargado del tratamiento, que opera la plataforma TraXmark®).

1. Objeto y duración

El tratamiento se limita a la prestación del Servicio TraXmark y se extiende durante la vigencia de la suscripción.

2. Naturaleza y finalidad del tratamiento

Tratamiento de señales de engagement (aperturas, clics, respuestas), analítica de documentos y metadatos asociados, estrictamente para operar el Servicio para el Cliente.

3. Categorías de interesados y de datos personales

Interesados: contactos y usuarios del Cliente. Datos personales: identificadores de contacto, telemetría de engagement seudonimizada, datos de interacción con documentos.

4. Obligaciones del encargado (art. 28.3)

El Encargado:

• tratará los datos personales únicamente siguiendo instrucciones documentadas del Cliente;
• garantizará la confidencialidad de las personas autorizadas a tratar;
• aplicará medidas de seguridad técnicas y organizativas apropiadas (véase el Anexo II);
• no recurrirá a subencargados sin notificación previa y derecho de oposición del Cliente;
• asistirá al Cliente en las solicitudes de los interesados (arts. 12–22);
• suprimirá o devolverá los datos personales tras la terminación, según la elección del Cliente;
• pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías.

5. Medidas de seguridad (resumen del Anexo II)

Cifrado en tránsito (TLS 1.2+) y en reposo; cifrado de sobre (AES-256-GCM) para credenciales; aislamiento de inquilinos a nivel de fila (RLS); registros de auditoría inmutables; MFA para el acceso administrativo; seudonimización de IP/user-agent en la ingesta.

6. Subencargados

La lista actual de subencargados se facilita bajo solicitud. El Cliente puede oponerse a los cambios; en tal caso, el tratamiento con el subencargado objetado se termina para ese Cliente.

7. Transferencias internacionales

Los datos se alojan en la UE. Cualquier transferencia fuera del EEE se basa en cláusulas contractuales tipo (SCC) y medidas suplementarias.

8. Derechos de los interesados

El Encargado notificará al Cliente sin dilación indebida al recibir una solicitud de un interesado y asistirá en su cumplimiento.

9. Notificación de violaciones de seguridad

El Encargado notificará al Cliente sin dilación indebida (a más tardar en 72 horas) desde que tenga conocimiento de una violación de la seguridad de los datos personales, con los detalles conocidos y las medidas correctivas.

10. Responsabilidad y auditoría

La responsabilidad derivada de este Acuerdo se rige por el contrato principal y la legislación aplicable. El Cliente puede auditar el cumplimiento mediante la documentación y, cuando sea estrictamente necesario y acordado, mediante auditorías in situ.