Acuerdo de encargo del tratamiento de datos personales

Borrador, no vigente. Versión 0.1 de 6 de octubre de 2026.

Entra en vigor el {{EFFECTIVE_DATE}}.

Acuerdo conforme al artículo 28 del Reglamento (UE) 2016/679 (el "RGPD") para el servicio Socializza, un producto de ITALDRONI S.r.l.

1. Partes

El presente acuerdo se celebra entre:

• [datos del cliente], con domicilio social en [datos del cliente], número de IVA [datos del cliente], en calidad de responsable del tratamiento (el "responsable" o el "cliente");
• ITALDRONI S.r.l., con domicilio social en Via Camillo Benso Conte di Cavour 13, 10019 Strambino (TO), Italia, número de IVA y código fiscal 13399080012, número de inscripción en el REA (registro mercantil italiano) TO-1360305, en calidad de encargado del tratamiento (el "encargado").

Los datos de contacto de las partes figuran en el Anexo I.

2. Definiciones

Se aplican las definiciones del RGPD. Se aplican además las siguientes:

• "Contrato" designa el contrato por el que el responsable usa Socializza;
• "workspace" designa el espacio del responsable en Socializza, con un plan, una facturación, sus cuentas y sus agentes, al que pertenece cada dato del responsable;
• "cuenta" designa una cuenta social que el responsable conecta al workspace;
• "agente" designa un programa de inteligencia artificial que el responsable elige y hace funcionar fuera de Socializza y que conecta a Socializza con una credencial propia;
• "autorización" designa la conexión de un agente a una cuenta, con los permisos, la modalidad y los límites que el responsable elige en la pantalla de consentimiento de Socializza;
• "aprobación" designa la decisión de una persona física designada por el responsable sobre un contenido propuesto por un agente;
• "registro de aprobación" designa el registro, uno por cada post, de cómo se desarrolló la aprobación y de su resultado;
• "Cláusulas" designa las cláusulas contractuales tipo adoptadas en el artículo 4.

3. Objeto y ámbito

3.1. El encargado trata datos personales por cuenta del responsable para prestar Socializza al workspace del responsable. El Anexo II describe el tratamiento.

3.2. El presente acuerdo se aplica a todo workspace usado para una actividad profesional o empresarial, en cualquier plan, Gratis incluido.

3.3. Quedan fuera del presente acuerdo los tratamientos de los que ITALDRONI S.r.l. es responsable. La política de privacidad los describe. Son los siguientes:

• las cuentas de los miembros del workspace y su autenticación;
• los tokens de los dispositivos para las notificaciones push;
• la facturación;
• los logs de seguridad;
• los contadores de producto;
• las notificaciones de contenidos ilícitos y las decisiones sobre contenidos del Reglamento (UE) 2022/2065;
• todo tratamiento realizado en un workspace usado con fines exclusivamente personales o domésticos, conforme al artículo 2, apartado 2, letra c), y al considerando 18 del RGPD.

4. Adopción de las cláusulas contractuales tipo

4.1. Las partes adoptan las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, en el texto español publicado en el Diario Oficial de la Unión Europea (EUR-Lex). Las Cláusulas forman parte integrante del presente acuerdo y no se transcriben en él.

4.2. En caso de contradicción, las Cláusulas prevalecen sobre el presente acuerdo y sobre cualquier otro acuerdo entre las partes, como dispone la Cláusula 4.

4.3. Los artículos 5 a 14 son cláusulas adicionales admitidas por la Cláusula 2. No contradicen las Cláusulas, ni directa ni indirectamente, y no perjudican los derechos y libertades fundamentales de los interesados.

4.4. Los anexos de las Cláusulas son los siguientes:

• Anexo I, Lista de partes, en este documento;
• Anexo II, Descripción del tratamiento, en este documento;
• Anexo III, Medidas técnicas y organizativas, en especial medidas técnicas y organizativas para garantizar la seguridad de los datos, en este documento;
• Anexo IV, Lista de subencargados del tratamiento, en un documento separado.

El Anexo V, la declaración de residencia de los datos, es un anexo adicional del presente acuerdo, en un documento separado.

4.5. Las partes eligen las opciones siguientes:

• La Cláusula 5, opcional, no se aplica.
• En la Cláusula 7.7, letra a), se aplica la opción 2, autorización general por escrito. El plazo de preaviso es de 30 días. El encargado informa al responsable por email al contacto [datos del cliente] y mediante un banner en la app. Solo se admite un preaviso más breve para la sustitución urgente del artículo 7.5.
• A efectos de la Cláusula 9.2, el encargado notifica al responsable la violación de la seguridad de los datos personales sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde su descubrimiento, al contacto [datos del cliente].

5. Instrucciones documentadas

5.1. La configuración que el responsable establece en la app constituye la instrucción documentada a efectos del artículo 28, apartado 3, letra a), del RGPD y de la Cláusula 7.1. La configuración comprende:

• las cuentas conectadas;
• las autorizaciones, con los permisos, la modalidad y los límites para cada agente y cuenta;
• las reglas de aprobación;
• el kill switch, con el que el responsable revoca en un solo gesto un agente, una marca o el workspace entero.

5.2. El encargado ejecuta como instrucción del responsable toda solicitud que un agente del responsable envíe dentro de una autorización. El encargado no ejecuta las solicitudes que excedan la autorización.

5.3. El responsable modifica las instrucciones en cualquier momento a través de la configuración. Cada modificación de los permisos, la modalidad o los límites de una autorización crea una nueva versión de esta, conservada en el historial.

5.4. El responsable da instrucción de efectuar las transferencias indicadas en los Anexos IV y V, con los mecanismos del capítulo V del RGPD allí indicados. Cualquier otra transferencia requiere una instrucción documentada, como dispone la Cláusula 7.8.

5.5. El encargado comunica toda modificación del Anexo V con el preaviso y en la forma del artículo 7.3. El responsable puede oponerse en las condiciones del artículo 7.4.

6. Uso de los datos del workspace

6.1. El encargado trata los datos del workspace solo para prestar Socializza al responsable. No los usa para fines propios.

6.2. El encargado no usa los datos del workspace para entrenar, ajustar ni evaluar ningún modelo de inteligencia artificial.

6.3. El encargado no redacta contenidos para el responsable y no procesa los datos del workspace con modelos de lenguaje.

6.4. El encargado no introduce datos del workspace en los campos descriptivos ni en los metadatos de los servicios de pago.

7. Subencargados del tratamiento

7.1. Mediante la Cláusula 7.7, opción 2, el responsable otorga la autorización general por escrito para recurrir a los subencargados que figuran en el Anexo IV. El encargado publica el Anexo IV en la dirección estable https://app.socializza.com/legal/sub-processors. Para cada subencargado, el Anexo IV indica denominación, domicilio social, función, categorías de datos, lugar del tratamiento y mecanismo de transferencia.

7.2. El encargado lleva un registro fechado de cada versión del Anexo IV. El registro acredita que se comunicó cada modificación y en qué fecha.

7.3. El encargado comunica toda adición o sustitución de un subencargado con al menos 30 días de antelación, en la forma del artículo 4.5.

7.4. Dentro del plazo de preaviso, el responsable puede oponerse por escrito por motivos relacionados con la protección de los datos personales. El encargado intenta primero atender la oposición, por ejemplo tratando en otro lugar los datos del responsable. Si no puede, el responsable puede desistir del servicio afectado sin penalización. En tal caso el encargado reembolsa a prorrata los importes pagados por el periodo no disfrutado.

7.5. Si un subencargado deja de prestar el servicio, o un problema de seguridad impone una sustitución inmediata, el encargado puede sustituirlo con un preaviso inferior a 30 días. El encargado comunica la sustitución en la forma del artículo 4.5. El responsable puede oponerse en un plazo de 30 días desde la comunicación, en las condiciones del artículo 7.4.

7.6. Todo contrato con un subencargado impone las mismas obligaciones de protección de datos que el presente acuerdo, como exige el artículo 28, apartado 4, del RGPD. El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones de los subencargados (Cláusula 7.7, letra d)).

8. Plataformas sociales

8.1. Las plataformas en las que el responsable conecta cuentas reciben los datos porque el responsable así lo decide. Son destinatarios elegidos por el responsable, indicados en el Anexo II.

8.2. Cada plataforma trata los datos como responsable independiente, en el marco de su propia relación con el responsable. Ninguna plataforma es subencargada del tratamiento, y ninguna figura en el Anexo IV.

8.3. El encargado accede a las plataformas solo a través de sus API oficiales.

9. Comunicaciones

9.1. El encargado envía las comunicaciones previstas en el presente acuerdo y en las Cláusulas al contacto [datos del cliente].

9.2. El responsable envía las comunicaciones, las solicitudes de ayuda de la Cláusula 8 y las oposiciones del artículo 7 a privacy@socializza.com.

10. Auditorías e inspecciones

10.1. El encargado demuestra el cumplimiento de sus obligaciones, como dispone la Cláusula 7.6, ante todo con documentación y con respuestas a los cuestionarios del responsable.

10.2. El responsable puede realizar una inspección in situ, directamente o a través de un auditor independiente, una vez al año y con un preaviso de 30 días.

10.3. Solo se admiten inspecciones in situ más frecuentes tras una violación de la seguridad de los datos personales, si existen indicios de incumplimiento de las Cláusulas o a petición de una autoridad de control.

11. Supresión y devolución de los datos

11.1. A la terminación del Contrato, el responsable elige entre la devolución y la supresión de los datos, como dispone la Cláusula 10, letra d).

11.2. Se exceptúan los registros de aprobación. El responsable da instrucción al encargado de conservar cada registro de aprobación durante 5 años desde la publicación del post, en cualquier plan, también después de la terminación del Contrato.

11.3. A la terminación del Contrato, el encargado entrega al responsable la exportación firmada de los registros de aprobación. El responsable puede ordenar por escrito la supresión anticipada de los registros. Al vencer los 5 años, el encargado suprime cada registro.

11.4. La eliminación del workspace suprime los demás datos de los sistemas activos en un plazo de 30 días. Concluye con la destrucción de la clave de cifrado del workspace (crypto-shred). La destrucción de la clave hace irrecuperables los datos cifrados con esa clave, empezando por los tokens de las plataformas.

11.5. Las copias de seguridad comprenden 30 días rotativos y una copia mensual conservada 12 meses. Por tanto, un dato suprimido puede permanecer en las copias de seguridad hasta 13 meses, solo en forma cifrada. Las copias de seguridad no permiten la supresión selectiva y caducan por sí solas.

12. Reglamento (UE) 2024/1689 de inteligencia artificial

12.1. El responsable del tratamiento es el responsable del despliegue de los sistemas de inteligencia artificial que usa a través de sus agentes. El responsable tiene la responsabilidad editorial de los contenidos publicados.

12.2. La excepción del artículo 50, apartado 4, del Reglamento (UE) 2024/1689 para los textos sometidos a revisión humana o a control editorial corresponde al responsable. El encargado no declara el cumplimiento del responsable en nombre de este.

12.3. El encargado conserva un registro de aprobación por cada post, durante el periodo del artículo 11.2. El responsable puede usarlo para demostrar la revisión humana. A petición del responsable, el encargado exporta el registro en formato firmado.

12.4. Solo aprueba una persona física designada por el responsable y autenticada en la app. Un token de un agente nunca puede aprobar.

12.5. Los contenidos publicados sin revisión llevan automáticamente la etiqueta que indica el uso de inteligencia artificial.

13. Duración e idioma

13.1. El presente acuerdo tiene la misma duración que el Contrato. Sigue vigente hasta que hayan caducado las copias de seguridad que contienen los datos del responsable, como máximo 13 meses después de la supresión prevista en el artículo 11.4, en consonancia con la Cláusula 10, letra d). Para los registros de aprobación, sigue vigente hasta su supresión conforme al artículo 11.3.

13.2. El presente acuerdo se redacta en italiano, inglés, español, francés y alemán. En caso de discrepancia prevalece el texto italiano. La prevalencia del texto italiano no se aplica a las Cláusulas. Cada versión lingüística del presente acuerdo adopta las Cláusulas en su propia lengua, y cada versión publicada en el Diario Oficial de la Unión Europea es igualmente auténtica.

14. Límite de responsabilidad

14.1. La responsabilidad del encargado ante el responsable por el presente acuerdo y por las Cláusulas está sujeta al límite del artículo 18.2 de las condiciones generales de servicio.

14.2. El límite no se aplica en los casos del artículo 18.3 de las condiciones generales de servicio (art. 1229, apartados 1 y 2, c.c.). No afecta a la indemnización debida a los interesados (art. 82 del RGPD). Este artículo no modifica las Cláusulas y solo se aplica en la medida en que no las contradiga (Cláusula 2).

Anexo I. Lista de partes

Responsable del tratamiento

Encargado del tratamiento

Anexo II. Descripción del tratamiento

Categorías de interesados

• Los miembros del workspace, incluidos los aprobadores y, en el plan Agenzia, los aprobadores de los clientes de la agencia, por los datos que les conciernen en las autorizaciones, en las aprobaciones y en el registro de auditoría.
• Las personas que gestionan las cuentas conectadas.
• La audiencia de las cuentas conectadas, por los datos que devuelven las API de las plataformas.
• Los terceros presentes en los contenidos de las plataformas: autores de comentarios, personas mencionadas o etiquetadas, autores de los resultados de búsqueda, interlocutores en los mensajes directos.
• Las personas que aparecen en los borradores, en los textos y en los archivos multimedia del responsable.

Categorías de datos personales

• Cuentas conectadas: plataforma, identificador externo, nombre de usuario, nombre visible, imagen de perfil y perfil público (nombre, nombre de usuario, imagen de perfil, número de seguidores, biografía), actualizado cada día. Los tokens de las plataformas se conservan solo en forma cifrada y nunca salen del vault.
• Contenidos del responsable: borradores y posts con texto, archivos multimedia, opciones, fecha de programación, indicación ai_generated y referencia al post publicado. Los archivos multimedia son imágenes y vídeos.
• Contenidos de terceros leídos a través de las API: comentarios, menciones, mensajes directos, resultados de búsqueda, estadísticas y datos de la audiencia.
• Agentes y autorizaciones: nombre del agente, entorno de ejecución, método de conexión, último acceso y última dirección IP. Las autorizaciones, con permisos, modalidad, límites, versiones y miembro que las creó. El registro de consentimiento de cada autorización, con miembro, copia de la autorización, dispositivo, dirección IP, idioma y método. Las credenciales de los agentes, conservadas solo como huella criptográfica.
• Registros de aprobación, uno por post: huellas SHA-256 del borrador del agente y del texto aprobado, con las diferencias; referencia al post, plataforma, cuenta, hora de publicación; identificador del agente, hora de generación, modelo o proveedor si el agente los declara; revisor persona física, con identificador y método de autenticación; rol y competencia del revisor; tiempo de apertura, texto visualizado, modificaciones, enlaces abiertos, nota y declaración del revisor; decisión con sello de tiempo; sujeto responsable, persona responsable y URL de la página pública de contacto; indicación de interés público y quién la estableció; presencia de archivos multimedia; valoración sobre ultrasuplantación (deep fake).
• Registro de auditoría: tipo de evento, actor, cuenta, herramienta o acción, argumentos ocultados, resultado, dirección IP, fecha y hora. Los argumentos no contienen secretos ni tokens, y todo texto libre se trunca a 2000 caracteres.

Datos sensibles

Ningún campo de Socializza está diseñado para las categorías especiales de datos del artículo 9 del RGPD. Aun así, los comentarios y los mensajes directos pueden contenerlas. Para estos datos se aplican las medidas del Anexo III, como dispone la Cláusula 7.5, con estas garantías específicas:

• el encargado se limita a almacenar los datos, entregarlos a los agentes del responsable y suprimirlos;
• el encargado no elabora ningún perfil;
• ningún modelo de lenguaje trata los datos;
• el acceso está limitado conforme al Anexo III;
• los contenidos de terceros se suprimen en un plazo de 30 días.

Naturaleza del tratamiento

El encargado realiza las operaciones siguientes:

• conserva los tokens de las plataformas en el vault, en forma cifrada, y nunca los entrega a los agentes;
• lee a través de las API oficiales comentarios, menciones, mensajes directos, estadísticas y resultados de búsqueda;
• entrega a los agentes los contenidos de terceros como datos no fiables, con un marcador de procedencia y un límite de longitud, nunca como instrucciones;
• recibe de los agentes borradores y archivos multimedia, los programa y los publica en las cuentas del responsable;
• gestiona el flujo de aprobación y conserva los registros de aprobación;
• anota en el registro de auditoría cada llamada de los agentes y cada acción de los miembros;
• envía las notificaciones de aprobación por email y push, que no contienen el texto de los posts.

Finalidad

Permitir que los agentes del responsable operen en las cuentas del responsable dentro de las autorizaciones y las reglas de aprobación establecidas por el responsable.

Frecuencia

Continua, durante la vigencia del Contrato.

Duración y conservación

El tratamiento dura lo mismo que el Contrato, salvo los registros de aprobación del artículo 11.2. Se aplican los plazos siguientes.

A la terminación del Contrato se aplica el artículo 11.

Destinatarios elegidos por el responsable

Las plataformas en las que el responsable conecta cuentas. En el lanzamiento son X y Meta para Páginas de Facebook, Instagram y Threads. Se aplica el artículo 8.

Tratamiento por parte de los subencargados

El Anexo IV indica para cada subencargado la función, las categorías de datos y el lugar del tratamiento. Los subencargados tratan los datos mientras el presente acuerdo siga vigente conforme al artículo 13.1. Ese periodo dura hasta la caducidad de las copias de seguridad, como máximo 13 meses después de la supresión prevista en el artículo 11.4, y, para los registros de aprobación, hasta su supresión.

Transferencias

El Anexo V indica lo que permanece en la Unión Europea y cada excepción, con el correspondiente mecanismo del capítulo V del RGPD.

Anexo III. Medidas técnicas y organizativas, en especial medidas técnicas y organizativas para garantizar la seguridad de los datos

Cifrado

• El tráfico público usa solo TLS 1.3, con HSTS. Los servidores se comunican a través de una red privada WireGuard. Las conexiones a la base de datos también usan TLS.
• Cada volumen que contiene datos está cifrado íntegramente con LUKS2. El swap está desactivado en todos los servidores, para que el material de las claves nunca llegue al disco.
• Con el cifrado en sobre, cada token de acceso y de renovación de las plataformas se cifra con una clave de datos propia del workspace (AES-256-GCM). Las credenciales que Socializza emite para los agentes se conservan solo como hash, nunca en claro. Los secretos de las apps de desarrollador de Socializza son comunes a todos los workspaces y se cifran con una clave de sistema distinta. Cada una de estas claves se cifra a su vez con una clave que nunca sale del almacén de claves. La base de datos conserva estos secretos solo en forma cifrada.
• Las copias de seguridad se cifran en el servidor antes del envío, con una clave que el proveedor del archivo de copias de seguridad no posee.

Gestión de claves

• El almacén de claves (OpenBao) se ejecuta en el servidor de Socializza. El desbloqueo requiere 3 fragmentos de 5, custodiados fuera de los servidores.
• El encargado no usa servicios de gestión de claves de proveedores estadounidenses.
• Las claves de datos de los workspaces se rotan ante cualquier sospecha de compromiso. Los secretos de las apps de las plataformas rotan cada 6 meses, las claves de firma cada trimestre.
• Los servicios obtienen los secretos del almacén de claves al arrancar. Ningún secreto se encuentra en un archivo de configuración. Todos los discos están cifrados.

Aislamiento entre workspaces

• Cada fila de datos del responsable pertenece a un solo workspace.
• La seguridad a nivel de fila de la base de datos se impone en cada tabla que contiene datos del responsable. Sin un workspace establecido, la aplicación no lee ninguna fila.
• El vault de tokens está separado de los demás datos, con roles propios.

Acceso de los agentes

• Los agentes reciben solo credenciales emitidas por Socializza, vinculadas al destinatario y de corta duración, una hora como máximo. Los tokens de las plataformas nunca salen del vault.
• Los agentes se conectan con OAuth 2.1 y PKCE, con coincidencia exacta de las direcciones de redirección.
• Cada agente ve solo las herramientas que permite su autorización.
• La revocación de una autorización o la pausa de un agente surte efecto en un plazo de un minuto. El kill switch revoca un agente, una marca o el workspace entero.

Acceso de los miembros

• La autenticación en dos factores es obligatoria para los propietarios y administradores del workspace y está disponible para cada miembro.
• Nueva autenticación para modificar una autorización, usar el kill switch o cambiar la facturación.
• Sesiones vinculadas al dispositivo y avisos de acceso.
• Protección CSRF y Content Security Policy en cada página.

Red y servidores

• Dos controles en cada ruta de red: las reglas de la red privada por rol y, después, un cortafuegos que deniega por defecto.
• Solo el proxy responde al público, en los puertos 80 y 443. La base de datos y el almacén de claves solo son accesibles en local o desde la red privada.
• Protección anti-DDoS del proveedor de alojamiento. Límites de frecuencia por credencial, workspace y dirección IP. Límites al tamaño de las solicitudes. CrowdSec en los servidores, con la lista de bloqueo de la comunidad.
• Actualizaciones de seguridad automáticas, paquetes mínimos, un usuario de sistema por servicio, contenedores sin privilegios.

Acceso administrativo

• Una sola persona autorizada de ITALDRONI S.r.l. tiene acceso a los sistemas de producción.
• Acceso SSH solo desde la red privada, con claves en un dispositivo de hardware. Contraseñas y acceso como root desactivados. Cada sesión administrativa queda registrada.
• Las herramientas automáticas de desarrollo no poseen credenciales de producción. El despliegue se realiza solo desde la canalización de integración continua, a partir de modificaciones revisadas.

Contenidos no fiables y archivos multimedia

• Los contenidos de terceros llegan a los agentes con un marcador de procedencia y un límite de 2000 caracteres, nunca como instrucciones.
• Los archivos multimedia se verifican en un proceso aislado, con límites de tamaño y de tiempo, reconocimiento del tipo, recodificación de las imágenes y transcodificación de los vídeos en un contenedor sin red.
• Los archivos multimedia se publican en direcciones no adivinables, que caducan.

Registros

• El registro de auditoría es de solo adición, con una fila antes de la llamada a la plataforma y otra después, vinculadas por el mismo identificador. La aplicación solo puede insertar filas.
• Los argumentos registrados se ocultan. Ningún secreto o token entra en el registro de auditoría.
• Los registros de aprobación son de solo adición, encadenados mediante huellas criptográficas y exportables en formato firmado. Ninguna operación modifica un registro de aprobación.

Copias de seguridad y continuidad

• El registro de transacciones (WAL) de la base de datos se archiva de forma continua.
• Copias de seguridad continuas hacia un archivo de copias de seguridad AWS S3 en la región eu-central-1, Fráncfort, Alemania, con bloqueo de objetos en modo de conformidad y conservación de versiones. La identidad que escribe las copias de seguridad no puede leerlas ni suprimirlas. La restauración usa una identidad separada, con autenticación multifactor.
• Los objetivos de recuperación son un RPO inferior a 5 minutos y un RTO inferior a 4 horas para la reconstrucción completa a partir de las copias de seguridad.
• Prueba de restauración automática cada mes, con verificación de integridad. Reconstrucción completa probada dos veces al año.

Desarrollo

• Dependencias fijadas, revisadas cada semana y verificadas en integración continua. Búsqueda de secretos en el código en integración continua.
• Lista de materiales de software (SBOM) para cada versión publicada. Imágenes de los contenedores firmadas.
• Revisión humana obligatoria para las modificaciones del vault, del servidor de autorización, de la gestión de tokens y del aislamiento de los archivos multimedia.

Incidentes

• Procedimiento escrito para cada escenario, con escala de gravedad.
• Notificación al responsable de toda violación de la seguridad de los datos personales en un plazo de 48 horas desde su descubrimiento, como dispone el artículo 4.5.
• Análisis del incidente en el plazo de una semana.

Anexo IV. Lista de subencargados del tratamiento

El Anexo IV es la lista de subencargados, publicada en la dirección estable https://app.socializza.com/legal/sub-processors, con su registro de modificaciones.

Anexo V. Declaración de residencia de los datos

El Anexo V es la declaración de residencia de los datos.