Contrato de encargo de tratamiento

El encargado trata datos personales por cuenta del responsable con una única finalidad: prestar el servicio de analítica web contratado en pisi.to. Nada más. No usamos los datos de tus visitantes para ningún fin propio, no los vendemos, no los cedemos y no los cruzamos con los de otros clientes.

Responsable del tratamiento: tú, el cliente titular del portal de pisi.to, como dueño de las webs que mides.

Encargado del tratamiento: Beaglo Labs S.L., sociedad española, con los datos identificativos que constan en la política de privacidad y en tu factura. Contacto para todo lo relativo a este contrato: privacidad@pisi.to.

El contrato entra en vigor al crear el portal y dura mientras dure la suscripción, prueba gratuita incluida, más el periodo de retención y supresión de la cláusula 12. Los datos agregados de un piso borrado se purgan del todo a los 30 días.

Medición agregada de audiencia de las webs del responsable: recuento de visitantes y visitas, páginas vistas, rebote, duración, tiempo en página y scroll, procedencia del tráfico, ubicación aproximada a nivel de ciudad, navegador, sistema, dispositivo e idioma, y las conversiones que el responsable defina como objetivos.

El tratamiento consiste en recibir el evento, derivar esas dimensiones en memoria, guardar el evento sin ningún dato identificativo y agregarlo por hora y por día. No hay perfiles, no hay decisiones automatizadas y no hay seguimiento entre webs.

Los interesados son los visitantes de las webs del responsable.

Los datos están detallados en el anexo del final de esta página. En resumen: la dirección IP y el User-Agent se leen en memoria y no se guardan nunca; de ellos se derivan el país, la región, la ciudad, el navegador, el sistema, el tipo de dispositivo y un identificador de visitante que caduca cada día. Además, la URL sin query salvo utm, el referrer, el idioma y el tamaño de la ventana.

Beaglo Labs S.L. se obliga a:

Estos son los terceros que intervienen en el servicio. Solo el primero toca datos de visitantes; los otros dos tratan exclusivamente tus datos de cliente. La lista vigente se publica en la política de privacidad y cualquier cambio se avisa con 30 días.

No hay transferencias de datos de visitantes fuera del Espacio Económico Europeo. La ingesta, la base de datos y la agregación están en la Unión Europea (Francia).

Stripe y Resend pueden tener acceso administrativo desde fuera del EEE bajo las cláusulas contractuales tipo de la Comisión Europea; en ambos casos solo tocan datos de cliente, nunca de visitantes. Si en el futuro hiciera falta una transferencia de datos de visitas, se notificaría con antelación y se ampararía en cláusulas contractuales tipo.

Las medidas del artículo 32 del RGPD que aplicamos hoy:

Si un visitante te pide acceso, rectificación o supresión, te ayudaremos a contestarle. Pero conviene que sepas de antemano lo que vas a poder decirle: ni tú ni nosotros podemos localizar sus datos, porque no existe ningún campo que lo identifique. No guardamos su IP, no hay cookie con su identificador y el número con el que se contó su visita se calculó con un salt que se destruyó esa misma noche.

Es el supuesto del artículo 11 del RGPD: cuando no es posible identificar al interesado, no hay obligación de conservar información adicional solo para poder hacerlo. Lo tienes explicado con calma en la política de privacidad y en la página de opt-out, que puedes enlazar desde tu web.

Si detectamos una violación de la seguridad que afecte a datos tratados por tu cuenta, te lo notificaremos sin dilación indebida y, en todo caso, en un máximo de 24 horas desde que tengamos conocimiento, al email de los miembros de tu portal.

La notificación incluirá lo que sepamos en ese momento: la naturaleza de la violación, las categorías y el volumen aproximado de datos afectados, las consecuencias probables y las medidas adoptadas o propuestas. Lo que no sepamos todavía lo iremos completando. Te ayudaremos con lo que necesites para notificar a la autoridad de control en el plazo de 72 horas del artículo 33.

Al terminar la suscripción, o al borrar un piso o el portal, tienes 30 días para exportar lo que quieras desde el panel en CSV. Pasado ese plazo se purgan por completo los eventos y los agregados, copias de seguridad incluidas en su rotación normal.

Los eventos crudos ya se borran por sí solos a los 30 días durante la vida del servicio, así que en el momento de la baja lo único que queda son agregados sin ningún dato personal. Si prefieres la devolución en vez de la supresión, pídela a privacidad@pisi.to antes de que venza el plazo.

Este contrato se rige por la legislación española y por el RGPD. Para cualquier controversia son competentes los juzgados y tribunales españoles. La responsabilidad de cada parte se limita conforme a las condiciones del servicio; nada de lo aquí escrito reduce los derechos que el RGPD reconoce a los interesados.

Lo que entra, lo que se deriva y cuánto dura, con el mismo detalle que la página de datos.