Acuerdo de Tratamiento de Datos (DPA)

DATA PROCESSING AGREEMENT (DPA)

Última actualización: 10 de octubre de 2025
Titular: World Delete LLC
FEI/EIN: 30-1251788
Dirección registrada: 4300 Biscayne Blvd, Suite 203, Miami, FL 33137, USA
Correo de contacto: [email protected]

1. Objeto y finalidad

El presente Acuerdo de Tratamiento de Datos (en adelante, el “Acuerdo” o “DPA”) regula el tratamiento de datos personales que World Delete LLC (en adelante, el “Encargado”) realiza por cuenta del Cliente (en adelante, el “Responsable del Tratamiento”) durante la prestación de los servicios contratados, de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 (RGPD) y la Florida Digital Privacy Act (FDPA). El Encargado se compromete a tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable y para la ejecución del contrato principal de servicios de reputación digital, eliminación de contenido y protección de datos.

2. Duración

El presente Acuerdo estará vigente mientras existan tratamientos de datos personales derivados de la relación contractual entre las partes.
Una vez finalizada dicha relación, los datos serán devueltos o eliminados según lo establecido en el apartado 10 del presente Acuerdo.

3. Naturaleza y tipo de datos tratados

El tratamiento podrá incluir las siguientes categorías:

• Datos identificativos: nombre, apellidos, dirección, teléfono, correo electrónico, documento de identidad.

• Datos financieros o de facturación: información bancaria o de pago.

• Datos de reputación digital: enlaces, artículos, URLs o publicaciones en línea vinculadas al cliente.

• Datos técnicos: direcciones IP, metadatos o registros de acceso.
• Datos de verificación KYC/AML: imágenes faciales y documentos oficiales.

4. Obligaciones del Encargado (World Delete)

World Delete se compromete a:

1. Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable.
2. Garantizar que el personal autorizado para tratar datos esté sujeto a confidencialidad contractual.
3. Implementar medidas técnicas y organizativas adecuadas conforme a ISO 27001:2022 e ISO 9001:2015, para garantizar la seguridad, integridad y disponibilidad de los datos.
4. Asistir al Responsable en la atención de solicitudes de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación o portabilidad).
5. Notificar sin dilación indebida cualquier violación de seguridad de los datos personales y colaborar en su mitigación.
6. No transferir datos personales a terceros o subencargados sin autorización previa del Responsable, salvo por motivos legales o técnicos imprescindibles.
7. Mantener un registro actualizado de actividades de tratamiento, disponible para inspección de las autoridades competentes.

5. Subencargados autorizados

El Responsable autoriza expresamente al Encargado a recurrir a los siguientes subencargados del tratamiento, únicamente para fines técnicos o operativos:

Proveedor / Subencargado	Finalidad del tratamiento	Ubicación / Política de privacidad
Amazon Web Services (AWS)	Infraestructura y almacenamiento en la nube.	https://aws.amazon.com/privacy/
Contabo GmbH	Alojamiento secundario y copias de respaldo.	https://contabo.com/en/legal/impressum/
Cloudflare, Inc.	Seguridad, mitigación DDoS y CDN.	https://www.cloudflare.com/privacypolicy/
Microsoft Corporation	Herramientas analíticas (Clarity) y sistemas IA reputacional.	https://privacy.microsoft.com
Google LLC	Análisis web, Tag Manager, rendimiento y publicidad.	https://policies.google.com/privacy
Automattic Inc. (WordPress)	CMS, plugins y formularios.	https://automattic.com/privacy/
Markets Prolive 360, S.L. (Didit.me)	Verificación KYC/AML y validación de identidad.	https://didit.me/privacy-policy

 

World Delete garantizará que todos los subencargados cumplen con obligaciones equivalentes a las establecidas en el presente DPA.

6. Transferencias internacionales de datos

Cualquier transferencia fuera del Espacio Económico Europeo se realizará bajo las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea o mecanismos equivalentes de adecuación. En el caso de proveedores establecidos en EE. UU., se verificará la adhesión al marco EU-US Data Privacy Framework, cuando resulte aplicable.

7. Medidas de seguridad

World Delete aplica medidas de seguridad técnicas y organizativas basadas en sus certificaciones ISO 27001 y ISO 9001, entre las que se incluyen:

• Cifrado de datos en tránsito y en reposo (TLS 1.3 / AES-256).
• Control de accesos y autenticación multifactor.
• Copias de seguridad cifradas y redundantes.
• Auditorías internas y pruebas de penetración (Netitude).
• Registro y supervisión de accesos a sistemas críticos.

8. Asistencia al Responsable

World Delete asistirá al Responsable en:

• Notificaciones de violaciones de seguridad.
• Evaluaciones de impacto (DPIA).
• Cumplimiento de auditorías o requerimientos regulatorios.

Los costes derivados de solicitudes extraordinarias o fuera del alcance contractual podrán facturarse previa aprobación escrita del Responsable.

9. Auditorías y verificaciones

El Responsable podrá solicitar una verificación o auditoría documental sobre las medidas técnicas y organizativas adoptadas. World Delete podrá aportar sus certificaciones ISO, informes Netitude o documentación de cumplimiento como evidencia suficiente. Las auditorías presenciales requerirán coordinación previa con al menos 30 días de antelación y deberán realizarse sin interferir en la operativa de seguridad.

10. Devolución o eliminación de datos

Finalizada la relación contractual, World Delete procederá, según indique el Responsable, a:

• Eliminar todos los datos personales procesados, o
• Devolverlos de forma segura en formato estructurado y legible.

La eliminación se efectuará mediante borrado seguro certificado (wipe 3-pass) conforme a ISO 27040, dejando constancia documental de la operación.

11. Confidencialidad

Toda la información, documentación o dato al que tenga acceso World Delete se considerará confidencial. El Encargado garantizará que todo su personal y subencargados mantengan deberes de secreto profesional indefinidos, incluso después de la terminación del contrato.

12. Legislación aplicable y jurisdicción

El presente Acuerdo se regirá por las leyes del Estado de Florida (EE. UU.), sin perjuicio de las normas imperativas del Reglamento (UE) 2016/679 (RGPD). Las partes se someten a los tribunales del Condado de Miami-Dade, Florida, con renuncia a cualquier otro fuero. En caso de conflicto de interpretación, prevalecerá la versión en inglés del documento.