Acuerdo de tratamiento de datos (DPA)

Última actualización: 11 de noviembre de 2026 · Primera publicación: 30 de julio de 2026

Esta versión es una traducción informativa. Solo la versión francesa es jurídicamente vinculante.

El presente acuerdo (en lo sucesivo, «DPA») se celebra conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD») entre el Cliente, que actúa como responsable del tratamiento, y Siggmund, que actúa como encargado del tratamiento (en lo sucesivo, «Siggmund»). Forma parte integrante de las condiciones generales de venta y es aceptado por el Cliente en el momento de la contratación. En caso de contradicción, el presente DPA prevalece sobre los demás documentos contractuales en lo que respecta al tratamiento de los datos personales.

1. Objeto y funciones

Siggmund trata datos personales por cuenta del Cliente con la única finalidad de ejecutar el servicio descrito en las condiciones generales: medición de la recomendabilidad de la marca del Cliente, producción de una puntuación y de recomendaciones. El Cliente determina los fines y los medios de ese tratamiento; Siggmund actúa únicamente siguiendo sus instrucciones documentadas, constituidas por las condiciones generales, el presente DPA y la configuración realizada por el Cliente en su espacio.

Siggmund sigue siendo responsable del tratamiento para sus propias necesidades (gestión de las cuentas, facturación, seguridad), reguladas por la política de privacidad.

2. Descripción del tratamiento

Naturaleza y finalidad: recogida, almacenamiento, análisis automatizado y restitución de datos relativos a la presencia en línea del Cliente.
Categorías de interesados: usuarios designados por el Cliente; en su caso, personas físicas identificables mencionadas en los contenidos públicos analizados o en las respuestas de los modelos de lenguaje.
Categorías de datos: identificadores y direcciones de correo electrónico de los usuarios; contenidos públicos del sitio web del Cliente; métricas de Search Console y Analytics 4 (impresiones, clics, posiciones, sesiones, fuentes de tráfico); identificadores técnicos de las propiedades de Google conectadas.
Categorías especiales de datos: ninguna. El servicio no está diseñado para tratar los datos a que se refiere el artículo 9 del RGPD, y el Cliente se compromete a no someter ninguno.
Duración: la duración de la suscripción, aumentada con los plazos de conservación que figuran en el apartado 8.

3. Obligaciones de Siggmund

Siggmund se compromete a:

tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, e informarle sin demora si una instrucción le parece constituir una infracción del RGPD;
no utilizar los datos del Cliente para otros fines, en particular ni con fines publicitarios, ni para entrenar modelos de inteligencia artificial generalistas;
garantizar la confidencialidad de los datos y someter a toda persona autorizada a acceder a ellos a una obligación de confidencialidad;
aplicar las medidas técnicas y organizativas descritas en el apartado 5;
asistir al Cliente, en la medida de lo razonable, en la realización de evaluaciones de impacto, en la respuesta a las solicitudes de los interesados y en las relaciones con una autoridad de control;
poner a disposición la información necesaria para demostrar el cumplimiento del presente DPA.

4. Obligaciones del Cliente

El Cliente garantiza que dispone de una base jurídica para los tratamientos encomendados, que ha informado a los interesados y que posee los derechos necesarios sobre los sitios web y las cuentas de Google que conecta. Le corresponde transmitir únicamente los datos necesarios para el servicio.

5. Seguridad

Siggmund aplica, conforme al artículo 32 del RGPD: cifrado de las comunicaciones (TLS) y de los datos en reposo; cifrado específico de los tokens de acceso de Google; control de acceso basado en roles, verificado en el servidor en cada solicitud; separación de los datos entre clientes; registro de los accesos de los administradores; copias de seguridad; limitación de los accesos de producción a las personas que los necesitan; revisión de las dependencias y de los secretos.

6. Subencargados del tratamiento

El Cliente autoriza a Siggmund a recurrir a los subencargados del tratamiento que se enumeran a continuación. Siggmund les impone por contrato obligaciones de protección equivalentes a las del presente DPA y sigue siendo responsable de su cumplimiento.

Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — alojamiento, base de datos y ejecución de la aplicación. Ubicación: Unión Europea (europe-west1)
Google Ireland Limited (Google Analytics 4) — medición de audiencia del sitio web público, previo consentimiento de usted. Ubicación: Irlanda (Unión Europea), con transferencias a Estados Unidos Garantías de la transferencia: decisión de adecuación UE–EE. UU. (Data Privacy Framework), al que está adherida Google LLC; en su defecto, cláusulas contractuales tipo
Stripe Payments Europe, Ltd. — cobro de los pagos de las suscripciones. Ubicación: Irlanda
Google (API Gemini) — análisis mediante un modelo de lenguaje y respuestas basadas en la búsqueda de Google (dirección del sitio web, actividad y un extracto de la página de inicio). Ubicación: cualquier país en el que Google disponga de instalaciones, incluido Estados Unidos (sin región de tratamiento garantizada)

Siggmund informa al Cliente de cualquier adición o sustitución de un subencargado con al menos 30 días de antelación a su puesta en práctica, por correo electrónico a la dirección de contacto de la cuenta. El Cliente puede oponerse por un motivo legítimo y razonable dentro de ese plazo; a falta de acuerdo, puede dar de baja su suscripción sin penalización, y se le restituye la parte de suscripción no consumida.

7. Transferencias fuera de la Unión Europea

Los datos se alojan en la Unión Europea, en europe-west1 (Bélgica). Siggmund no transfiere ningún dato personal del Cliente a un proveedor de tratamiento de contenidos: los modelos de lenguaje y los servicios de medición reciben preguntas de medición, direcciones de sitios web públicos y contenidos públicos, no datos personales. Se comunica, previa solicitud, copia de las garantías aplicables a un proveedor establecido fuera de la Unión Europea.

Los datos de Search Console y de Analytics 4 del Cliente pueden transmitirse a esos proveedores de modelos de lenguaje cuando sirven para producir los análisis y las recomendaciones del servicio (por ejemplo, para interpretar las consultas mejor posicionadas o las fuentes de tráfico). Se transmiten únicamente con ese fin, exclusivamente a efectos de inferencia: nunca sirven para entrenar ni afinar un modelo, y Siggmund no activa ninguna opción de conservación o de puesta en común de los contenidos que ofrezca un proveedor.

8. Conservación, restitución y supresión

Los plazos de conservación aplicables son los siguientes:

Cuenta y dirección de correo electrónico: duración de la suscripción y, después, 3 años desde el último contacto.
Número de teléfono (si se indica): duración de la suscripción y, después, 3 años desde el último contacto.
Análisis, puntuaciones y recomendaciones producidos: duración de la suscripción y, después, 12 meses.
Datos de Search Console y Analytics importados (instantáneas): 13 meses móviles, y supresión en un plazo de 30 días desde la revocación del acceso a Google o desde la baja.
Mediciones del efecto de las acciones: durante toda la duración de la suscripción, suprimidas en un plazo de 30 días desde la baja o la revocación del acceso a Google.
Tokens de acceso de Google (cifrados): hasta su revocación, o 30 días después de la baja.
Clave de API de ChatGPT Ads (cifrada): hasta que se desconecte, o 30 días después de la baja.
Imágenes de anuncios de ChatGPT Ads cargadas por el usuario (alojadas para que OpenAI pueda recuperarlas): como máximo 91 días, o hasta la supresión del cliente.
Logotipo de la agencia (informes de marca blanca): hasta su sustitución o hasta que se retire la marca, o hasta la supresión de la organización.
Campañas de ChatGPT Ads creadas desde la aplicación y dirección de correo electrónico de su autor: duración de la suscripción y, después, 12 meses.
Lead anónimo no reclamado (antes del alta): 7 días desde el envío, supresión automática diaria (SIG-88) — un lead reclamado (convertido en cliente) nunca está sujeto a este plazo.
Solicitudes desde la página de inicio (correo electrónico, teléfono): 3 años desde la última modificación de la solicitud, supresión automática diaria.
Mensajes enviados mediante el formulario de contacto: 3 años desde el último intercambio.
Datos de uso del sitio web y de la aplicación (PostHog): 1 año y, después, supresión automática por PostHog.
Registros técnicos y de seguridad: 12 meses.
Registros de acceso de los administradores (trazabilidad conforme al RGPD): 3 años.
Facturas y documentos contables: 10 años (obligación legal, art. L123-22 del Code de commerce francés).

Al término de la prestación, Siggmund suprime los datos tratados por cuenta del Cliente según esos plazos, salvo obligación legal de conservación. El Cliente puede solicitar, antes de la baja, la restitución de sus datos en un formato estructurado y de uso común.

9. Violación de la seguridad de los datos

Siggmund notifica al Cliente sin dilación indebida, y como máximo en un plazo de 48 horas desde que tenga conocimiento de ella, toda violación de la seguridad de los datos personales que afecte a sus datos, comunicándole los elementos necesarios para su propia notificación conforme a los artículos 33 y 34 del RGPD, así como las medidas adoptadas para remediarla.

10. Auditoría

Siggmund responde a los cuestionarios de seguridad del Cliente y le facilita la documentación pertinente. El Cliente puede, como máximo una vez al año y con un preaviso de 30 días, hacer realizar una auditoría proporcionada, a su cargo, en condiciones que preserven la confidencialidad de los demás clientes y la seguridad del servicio.

11. Contacto

Cualquier solicitud relativa al presente acuerdo: privacy@siggmund.com.