Acuerdo de Procesamiento de Datos

Este Anexo de Procesamiento de Datos ("DPA") forma parte de, y se incorpora por referencia en, los Términos y Condiciones (o cualquier acuerdo marco de servicios, formulario de pedido o carta de encargo) entre Maera ("Encargado del Tratamiento") y el Cliente ("Responsable del Tratamiento"). Se aplica siempre que Maera trate Datos Personales por cuenta del Responsable en conexión con los Servicios, y las Leyes de Protección de Datos Aplicables lo requieran.

‍

1. Definiciones

• Datos Personales / Datos Personales del Cliente: Cualquier información relativa a una persona física identificada o identificable que sea facilitada por o accedida a través del Responsable en conexión con los Servicios.  
• Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre Datos Personales (recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, uso, comunicación, difusión, alineación, combinación, limitación, supresión o destrucción).  
• Leyes de Protección de Datos Aplicables: Reglamento General de Protección de Datos de la UE (RGPD – Reglamento (UE) 2016/679), RGPD del Reino Unido, Ley Federal de los EAU N.º 45/2021 sobre Protección de Datos Personales (PDPL), California Consumer Privacy Act (CCPA/CPRA) y cualquier otra ley aplicable de protección de datos o privacidad.  
• Roles: Responsable = el Cliente; Encargado = Maera (o "Proveedor de Servicios" según CCPA cuando corresponda).

‍

2. Ámbito y aplicación

Este DPA se aplica únicamente cuando Maera actúa como Encargado del Tratamiento (o equivalente) de Datos Personales del Cliente conforme a las Leyes de Protección de Datos Aplicables. Suplementa el acuerdo principal y prevalece en caso de conflicto en materia de protección de datos.

‍

3. Obligaciones del Encargado  

Maera deberá:  

• Tratar los Datos Personales del Cliente únicamente según instrucciones documentadas del Responsable (incluyendo este DPA y el acuerdo principal), salvo que la ley lo requiera (en cuyo caso notificará al Responsable salvo prohibición).  
• Asegurar que las personas autorizadas para tratar los datos estén sujetas a obligaciones de confidencialidad.  
• Implementar y mantener medidas técnicas y organizativas adecuadas (detalladas en el Anexo 2) para garantizar un nivel de seguridad apropiado al riesgo.  
• Asistir al Responsable, cuando sea razonablemente solicitado y a su coste, en el cumplimiento de obligaciones relativas a derechos de los interesados, evaluaciones de impacto en la protección de datos, consultas previas y notificaciones de brechas.  
• Notificar al Responsable sin demora indebida (y en todo caso en 72 horas cuando lo exija el RGPD) al tener conocimiento de una brecha de Datos Personales que afecte a Datos Personales del Cliente.  
• A elección del Responsable, devolver o suprimir todos los Datos Personales del Cliente al finalizar los Servicios (salvo retención legal), y certificar por escrito dicha devolución/supresión.  
• Poner a disposición información razonablemente necesaria para demostrar el cumplimiento de este DPA (incluyendo auditorías — ver sección 7).

‍

4. Subencargados  

• Maera mantiene una lista actualizada de subencargados autorizados en maera.com/legal/sub-processors (o bajo solicitud).  
• El Responsable otorga autorización general por escrito para el uso de subencargados listados a la fecha de este DPA.  
• Maera notificará al Responsable cualquier adición o sustitución prevista de subencargados con al menos 30 días de antelación (por correo electrónico o notificación en cuenta). El Responsable podrá objetar por motivos razonables en 14 días; si no hay objeción, se considera aceptada.  
• Maera responde plenamente por el cumplimiento de los subencargados.

‍

5. Transferencias internacionales  

Cuando las Leyes de Protección de Datos Aplicables restrinjan transferencias fuera del territorio correspondiente:  

• Para UE/EEE/Reino Unido: Maera se basa en el Marco de Privacidad de Datos UE-EE.UU. (DPF — certificación cuando corresponda), Cláusulas Contractuales Tipo de 2021 (SCC – Módulo 2: Responsable a Encargado), Adenda Internacional de Transferencia de Datos del Reino Unido (cuando corresponda) y Evaluaciones de Impacto en Transferencias (TIA).  
• Para EAU (PDPL): Se utilizan mecanismos permitidos por PDPL (decisiones de adecuación, salvaguardias adecuadas, consentimiento explícito si es requerido).  
• Maera no transferirá Datos Personales del Cliente a un tercer país u organización internacional salvo que cumpla con las Leyes de Protección de Datos Aplicables.

‍

6. Registros y asistencia  

Maera mantendrá registros de actividades de tratamiento según requieran las Leyes de Protección de Datos Aplicables y los facilitará al Responsable bajo solicitud razonable.

‍

7. Auditorías  

Con notificación escrita razonable con antelación (al menos 30 días), el Responsable (o un auditor independiente) podrá auditar el cumplimiento de este DPA por parte de Maera, sujeto a confidencialidad, alcance razonable y sin interrupción del negocio. Maera cooperará y proporcionará la información necesaria.

‍

8. Responsabilidad  

La responsabilidad bajo este DPA está sujeta a las disposiciones de limitación de responsabilidad del acuerdo principal.

‍

9. Ley aplicable  

Este DPA se rige por las leyes especificadas en el acuerdo principal (Estado de Nueva York, EE.UU.), sin perjuicio de las disposiciones imperativas de las Leyes de Protección de Datos Aplicables.

‍

Anexo 1: Descripción del Tratamiento / Detalles de la Transferencia  

Exportador de Datos (Responsable): El Cliente (identificado en el Acuerdo).  

Importador de Datos (Encargado): Maera (Nueva York, NY, EE.UU.).

‍

Objeto del Tratamiento  

Prestación de servicios de Optimización de Búsqueda con IA / Optimización de Motores Generativos (GEO/AEO), incluyendo auditorías de contenido, recomendaciones de datos estructurados/schema, optimización de entidades, informes de visibilidad antes/después y consultoría relacionada para mejorar la prominencia del contenido verificado del Cliente en sistemas de IA generativa.

‍

Duración del Tratamiento  

Desde el inicio de los Servicios relevantes hasta la terminación del Acuerdo, más un período razonable posterior para devolución/supresión (normalmente hasta 90 días, o más si la ley lo exige).

‍

Naturaleza y finalidad del Tratamiento  

• Almacenamiento temporal y análisis de contenido, URLs y ejemplos de consultas proporcionados por el Cliente.  
• Aplicación de técnicas de optimización (por ejemplo, sugerencias de markup, señales de reestructuración de contenido).  
• Generación de informes diagnósticos y recomendaciones (usando solo datos proporcionados).  
• No se realiza recopilación independiente, scraping, generación de contenido sintético ni tratamiento más allá de las instrucciones del Responsable.

‍

Tipos de Datos Personales  

Categorías de bajo riesgo y no sensibles:  

• Datos de contacto (nombres, correos, teléfonos si aparecen en muestras de contenido, metadatos o información de autores).  
• Información de sitios web/dominios y extractos de páginas.  
• Ejemplos de consultas de búsqueda proporcionados por el Cliente.  
• Cualquier dato personal incidental incrustado en materiales suministrados (por ejemplo, testimonios, biografías).  

‍

Categorías especiales/sensibles: No se esperan ni se tratan salvo que el Cliente los proporcione explícitamente (aplican restricciones adicionales si ocurre).

‍

Categorías de Interesados  

• Empleados, contratistas o representantes del Cliente.  
• Visitantes/usuarios de los sitios web del Cliente (si aparecen datos personales de forma incidental en contenido/URLs).  
• Otras personas referenciadas en materiales suministrados por el Cliente.

‍

Anexo 2: Medidas Técnicas y Organizativas (TOMs)  

Maera implementa las siguientes medidas (revisadas anualmente o ante cambios materiales):

‍

1. Seudonimización y cifrado  

• Cifrado AES-256 en reposo para bases de datos y archivos almacenados (por ejemplo, claves gestionadas por AWS).  
• Cifrado TLS 1.3 en tránsito para todas las comunicaciones API, web y transferencia de datos.  
• Seudonimización/tokenización de identificadores en registros cuando sea técnicamente factible.

‍

2. Controles de acceso y autenticación  

• Control de acceso basado en roles (RBAC) con principio de privilegio mínimo.  
• Autenticación multifactor (MFA) obligatoria para todas las cuentas internas.  
• Cuentas de usuario únicas; desactivación inmediata al cambiar rol/terminar relación.  
• Registros de acceso conservados mínimo 12 meses.

‍

3. Seguridad física y ambiental  

• Alojamiento en entornos en la nube conformes ISO 27001 y SOC 2 (por ejemplo, AWS, Google Cloud).  
• Seguridad física mediante controles de centros de datos (acceso biométrico, monitoreo 24/7, CCTV).

‍

4. Integridad y resiliencia del sistema  

• Escaneos de vulnerabilidades y pruebas de penetración trimestrales (internas + de terceros cuando corresponda).  
• Gestión automatizada de parches para sistema operativo, dependencias y aplicaciones.  
• Copias de seguridad cifradas diarias con retención de 30 días; pruebas regulares de restauración.  
• Arquitectura de alta disponibilidad (multi-AZ/multi-región con failover).

‍

5. Detección y respuesta a incidentes  

• Monitoreo continuo mediante herramientas SIEM/análisis de logs para detectar anomalías.  
• Plan documentado de respuesta a incidentes (probado al menos anualmente).  
• Notificación al Responsable sin demora indebida (≤72 horas para incidentes notificables bajo RGPD).

‍

6. Confidencialidad y formación  

• Todo el personal firma acuerdos de confidencialidad.  
• Formación anual obligatoria en seguridad y protección de datos.  
• Verificación de antecedentes para empleados con acceso a Datos Personales del Cliente.

‍

7. Minimización de datos y controles de retención  

• Tratamiento limitado a lo necesario; políticas automáticas de purgado tras terminación.  
• Sin retención a largo plazo más allá de los requisitos del Acuerdo.

‍

8. Auditoría y mejora continua  

• Revisiones internas anuales de cumplimiento.  
• Auditorías/certificaciones independientes de terceros (por ejemplo, informes SOC 2 Type II disponibles bajo NDA).

‍

Anexo 3: Cláusulas Contractuales Tipo – Módulo 2 (Responsable a Encargado)  

Las Cláusulas Contractuales Tipo de 2021 (Decisión de Ejecución (UE) 2021/914), Módulo 2, se aplican íntegramente para transferencias restringidas desde UE/EEE/Reino Unido a Maera. Disposiciones clave incorporadas por referencia (texto completo: eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32021D0915):  

• El Encargado debe tratar solo según instrucciones documentadas e informar si las instrucciones infringen la ley.  
• Implementar TOMs del Anexo 2.  
• Mantener confidencialidad y formar al personal.  
• Asistir con derechos de interesados, DPIA y respuesta a brechas.  
• Notificar cambios de subencargados (conforme sección 4).  
• Devolver/suprimir datos al terminar y certificar cumplimiento.  
• Permitir auditorías/inspecciones (preaviso razonable, confidencialidad).  
• Salvaguardias adicionales: Dependencia del Marco UE-EE.UU. de Privacidad de Datos (si certificado), TIA, sin leyes de terceros países que socaven las protecciones.

‍

Detalles de completado de SCC:  

• Cláusula 7: Cláusula de adhesión aplica.  
• Cláusula 9: Opción 2 (autorización general por escrito).  
• Cláusula 11: Cláusula de beneficiario tercero opcional no aplicada.  
• Cláusula 17: Opción 1 – leyes de Irlanda (u otro Estado miembro de la UE seleccionado por el Responsable).  
• Cláusula 18: Tribunales del Estado miembro elegido.

‍

Este DPA entra en vigor al usar los Servicios cuando las Leyes de Protección de Datos Aplicables lo requieran. Para consultas o negociaciones personalizadas, contacte support@maera.com.

‍

Anexo de Procesamiento de Datos Última actualización: Marzo de 2026

‍

‍

‍