Acuerdo de tratamiento de datos (DPA)

Versión: 2026-11-05 · Entre: el comerciante que contrata el plan Pro de MailVex (el "Responsable") y AutomatLabs, nombre comercial de Víctor Gutiérrez Nogués (NIF 09087078P), con domicilio en Vía Complutense 62, 28805 Alcalá de Henares, Madrid, España (el "Encargado"), con motivo del uso de la plataforma web de MailVex (app.mail-vex.com).

1. Objeto y duración

Este contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable, exclusivamente para prestar el servicio de la plataforma MailVex Pro: almacenar el histórico de correos y métricas que el Responsable importa, calcular analítica adicional y generar borradores de correo con ayuda de IA. Tiene la misma duración que la relación de suscripción Pro entre el Responsable y AutomatLabs, y se extingue con ella, sin perjuicio de lo que establece el punto 7 (destino de los datos al finalizar).

2. Naturaleza y finalidad del tratamiento

Naturaleza: almacenamiento, indexación, cálculo de métricas y generación de texto asistida por IA, sobre el contenido que el propio Responsable importa (fichero exportado por la extensión).
Finalidad: prestar las funciones de la plataforma que el Responsable ha contratado — analítica centralizada y generación de borradores de correo —, y ninguna otra. En particular, el Encargado nunca usa el contenido del Responsable para entrenar o mejorar ningún modelo de IA, propio o de terceros, ni para ninguna función que combine datos entre distintos Responsables.

3. Tipos de datos y de interesados

Categorías de datos: contenido de correos de marketing (texto y HTML), métricas de rendimiento (enviados, entregados, aperturas, clics, bajas, quejas, ventas atribuidas), metadatos de importación, perfil de voz agregado, borradores generados por IA.
Datos personales incidentales que puede contener ese contenido: nombres, teléfonos o correos de personas mencionadas en el propio contenido (pies de página con el teléfono o el correo de la tienda, nombres en testimonios, nombres de segmentos). El Encargado enmascara automáticamente los correos electrónicos y los teléfonos detectados antes de que el contenido llegue a cualquier proveedor de IA.
Dato que nunca se trata: los datos de los suscriptores de la tienda del Responsable como colectivo. El formato de exportación de la extensión no los incluye.
Categorías de interesados: el propio Responsable (como titular de la cuenta) y, de forma incidental, las personas mencionadas en su contenido descritas arriba.

4. Obligaciones del Encargado

El Encargado:

Trata los datos únicamente siguiendo las instrucciones documentadas del Responsable (prestar el servicio contratado), salvo que una norma de la Unión o de un Estado miembro exija otra cosa, en cuyo caso lo informa previamente al Responsable salvo que esa norma lo prohíba.
Garantiza que las personas autorizadas a tratar los datos se comprometen a confidencialidad.
Adopta las medidas de seguridad del art. 32 RGPD descritas en el punto 6 de este contrato.
No subcontrata ningún tratamiento sin la autorización general del Responsable, que se concede con la aceptación de este contrato respecto de la lista de subencargados vigente en cada momento, informando al Responsable de cualquier cambio con antelación razonable para que pueda oponerse.
Ayuda al Responsable, dentro de lo razonable, a responder a solicitudes de ejercicio de derechos de los interesados y a cumplir sus obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, EIPD y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado.
Notifica al Responsable sin dilación indebida cualquier violación de la seguridad de los datos personales de la que tenga constancia, con la información disponible en ese momento y ampliándola según avance la investigación (ver procedimiento en el punto 8).
Pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías razonables, incluidas inspecciones, previo aviso.
Al finalizar la prestación del servicio, suprime o devuelve todos los datos personales, según decida el Responsable, salvo que una norma exija su conservación (ver punto 7).

5. Subencargados

La lista completa, con el rol de cada uno, vive en la página de subencargados, que forma parte de este contrato por referencia. En síntesis: Hetzner (infraestructura, Núremberg, Alemania/UE) y OpenAI (generación de texto asistida por IA, EE. UU., con cláusulas contractuales tipo — ver la página de subencargados §2). Stripe procesa los pagos de la suscripción como encargado del tratamiento de AutomatLabs para el cobro, y además, para sus propios fines legales (prevención de fraude y cumplimiento normativo), puede actuar como responsable independiente de esos mismos datos — no es un subencargado de este contrato, porque los datos de pago no son contenido del Responsable. Amazon SES procesa los correos transaccionales de la propia cuenta del Responsable (enlace de acceso, avisos de pago o de retención), nunca el contenido de sus campañas de marketing.

6. Medidas de seguridad (art. 32 RGPD)

Aislamiento de los datos de cada Responsable mediante seguridad a nivel de fila forzada (FORCE ROW LEVEL SECURITY) en la base de datos, con el contexto del tenant fijado por transacción y un test automático que comprueba que no hay fuga entre cuentas.
El rol de la aplicación que accede a la base de datos no es el propietario de las tablas.
Enmascarado automático de correos electrónicos y teléfonos antes de cualquier llamada a un proveedor de IA.
El HTML que sube el Responsable se trata como contenido no confiable: se muestra solo en un marco aislado, nunca se incorpora directamente a la aplicación.
Cifrado en tránsito (TLS) en todas las conexiones con la plataforma.
Registro de accesos, borrados y acciones administrativas (quién, qué y cuándo — nunca el contenido en sí).
Borrado del contenido a los 30 días desde el impago o la cancelación de la suscripción (ver política de retención en el apartado de la plataforma dentro de la política de privacidad), y borrado inmediato a petición del Responsable desde "Borrar mi cuenta y mis datos".

7. Destino de los datos al finalizar la relación

Mientras la suscripción esté activa, el Responsable conserva acceso completo.
Si la suscripción deja de estar al corriente de pago, el Responsable conserva acceso completo durante 14 días de gracia desde el impago y, después, acceso de solo lectura y descarga hasta completar 30 días desde el impago.
Si la suscripción se cancela directamente (sin impago previo), el acceso de solo lectura y descarga dura los 30 días siguientes a la cancelación.
En ambos casos, al llegar al día 30 el Encargado suprime todo el contenido: correos, HTML, métricas, borradores y ficheros.
El Responsable puede pedir el borrado inmediato en cualquier momento, sin esperar esos 30 días.
Se conservan únicamente los datos de facturación que exija la normativa fiscal aplicable, con el Responsable ya convertido en responsable de sus propios datos de facturación frente a esa normativa en lo que corresponda.

8. Notificación de brechas de seguridad

Si el Encargado detecta una violación de la seguridad de los datos personales del Responsable, se la notifica sin dilación indebida, con lo que se sepa en ese momento (naturaleza de la brecha, categorías y volumen aproximado de datos afectados, medidas ya tomadas), para que el Responsable pueda cumplir, si procede, su propio plazo de 72 horas frente a su autoridad de control (art. 33 RGPD).

9. Transferencias internacionales

Ver el detalle por subencargado en la página de subencargados §2 y §3. En síntesis: la infraestructura (Hetzner) se mantiene en una región de la Unión Europea (Núremberg); la generación de texto con IA (OpenAI) y el correo transaccional (Amazon SES) implican datos tratados por empresas con sede en Estados Unidos, bajo cláusulas contractuales tipo como mecanismo de transferencia. El Responsable acepta estas transferencias al aceptar este contrato.

10. Ley aplicable

Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD) y, en lo que no contradiga, por la legislación española.