Acuerdo de encargo del tratamiento de datos personales

Artículo 28 del RGPD. Este acuerdo forma parte de las condiciones generales de venta (artículo 11.2).

Entre:

• El Cliente, tal como se identifica en su cuenta y en su pedido («el Responsable del tratamiento»);
• PROMOMÉDIA, SAS con capital de 1 €, RCS Nanterre 948 206 438, 99 avenue Achille Peretti, 92200 Neuilly-sur-Seine («el Encargado del tratamiento»).

Se aplica mientras PROMOMÉDIA trate datos personales por cuenta del Cliente.

Artículo 1 - Objeto

El Encargado trata, por cuenta del Responsable del tratamiento, los datos personales de los oyentes de las aplicaciones, sitios y servicios suministrados (Streaming, aplicaciones móviles, sitios web de radio, skills de Alexa), únicamente para prestar dichos servicios.

Artículo 2 - Descripción del tratamiento

• Finalidad: funcionamiento de los servicios (notificaciones, dedicatorias, estadísticas de escucha, visualización de contenidos).
• Naturaleza: recogida, alojamiento, transmisión, consulta, supresión.
• Interesados: oyentes y usuarios de las aplicaciones y sitios del Cliente.
• Tipos de datos: tokens de notificación (identificador de dispositivo), seudónimos y mensajes de dedicatoria, dirección IP, datos técnicos de conexión, estadísticas de escucha.
• Duración: la del contrato, y después supresión conforme al artículo 9.

Artículo 3 - Instrucciones

El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable del tratamiento (las condiciones de venta, el uso normal del servicio y sus ajustes equivalen a instrucciones). Informa al Responsable si una instrucción le parece contraria al RGPD.

Artículo 4 - Confidencialidad

El Encargado vela por que las personas autorizadas a tratar los datos estén sujetas a confidencialidad y formadas en protección de datos.

Artículo 5 - Seguridad

El Encargado aplica medidas técnicas y organizativas adaptadas al riesgo, en particular: cifrado de los intercambios, control de accesos, autenticación reforzada para el equipo, copias de seguridad, registro de actividad y actualizaciones de seguridad.

Artículo 6 - Subencargados

6.1. El Responsable del tratamiento autoriza con carácter general el recurso a subencargados, cuya lista figura en el anexo.

6.2. El Encargado informa al Responsable de cualquier adición o sustitución con un preaviso de 30 días; el Responsable puede oponerse por un motivo razonable y, a falta de acuerdo, rescindir el servicio afectado.

6.3. El Encargado impone a sus propios subencargados las mismas obligaciones de protección y sigue siendo responsable frente al Responsable de su cumplimiento.

Artículo 7 - Derechos de las personas

El Encargado ayuda al Responsable, mediante medidas adecuadas, a responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad). Si recibe directamente una solicitud, la transmite al Responsable en un plazo de 5 días hábiles sin responderla él mismo.

Artículo 8 - Violación de la seguridad de los datos

El Encargado notifica al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, a más tardar, 48 horas después de haber tenido conocimiento de ella, indicando la naturaleza de la violación, los datos afectados, sus probables consecuencias y las medidas adoptadas. El Responsable sigue encargado de notificar a la CNIL y a los interesados si es necesario.

Artículo 9 - Destino de los datos al final del contrato

Al finalizar el servicio, el Encargado suprime los datos o los devuelve al Responsable, a elección de este. Los datos se conservan 30 días tras la rescisión (artículo 12.3 de las condiciones de venta) y después se suprimen, salvo obligación legal de conservación.

Artículo 10 - Transferencias fuera de la Unión Europea

Los datos se alojan en Francia. Solo los servicios de notificación de las plataformas (véase el anexo) pueden implicar una transferencia fuera de la Unión Europea; solo se realiza con garantías adecuadas (decisión de adecuación o cláusulas contractuales tipo).

Artículo 11 - Ayuda y auditoría

11.1. El Encargado ayuda al Responsable a cumplir sus obligaciones de seguridad, de evaluación de impacto y de consulta previa a la CNIL, en la medida de la información de que disponga.

11.2. Pone a disposición la información necesaria para demostrar el cumplimiento del presente acuerdo y permite las auditorías, una vez al año salvo incidente, previa solicitud por escrito con un preaviso razonable, a cargo del Responsable y sin comprometer la seguridad de los demás clientes.

Artículo 12 - Responsabilidad

Cada parte responde de sus incumplimientos del RGPD en las condiciones del derecho común, dentro de los límites fijados en el artículo 9 de las condiciones de venta, sin perjuicio de los derechos de los interesados.

Artículo 13 - Registro y documentación

El Encargado lleva el registro de sus actividades de tratamiento por cuenta de clientes (artículo 30.2 del RGPD).

Anexo - Subencargados

Encargado del tratamiento	Función	Ubicación
o2switch	Alojamiento de la plataforma	Francia
o2switch	Envío de correos electrónicos	Francia
Google (Firebase Cloud Messaging)	Notificaciones de Android	UE / Estados Unidos (cláusulas contractuales tipo)
Apple (APNs)	Notificaciones de iOS	Estados Unidos (cláusulas contractuales tipo)
Stripe	Pago (datos de pago del Cliente, excluidos los oyentes)	UE / Estados Unidos

Versión del 4 de noviembre de 2026.