entre la empresa que nos encarga un análisis o contrata un área de equipo (responsable del tratamiento, en adelante «cliente») y seora.one, Peter R. Stuhlmann, Martha-Arendsee-Str. 10, 12681 Berlin (encargado del tratamiento, en adelante «proveedor»). Este contrato se celebra cuando un empresario (§ 14 BGB) encarga un análisis o cuando se contrata un plan de equipo, y complementa las condiciones generales de contratación. Regula el tratamiento de datos personales por encargo conforme al art. 28 del Reglamento General de Protección de Datos (RGPD).
1 Objeto y duración
El proveedor analiza sitios web para el cliente y pone los resultados a su disposición; en los planes de equipo, pone además a su disposición un área de equipo. Para ello trata datos personales por encargo del cliente en la medida en que pertenezcan al sitio web del cliente, a sus fuentes de datos y a su equipo.
El contrato rige mientras el cliente tenga análisis guardados con nosotros o utilice un plan de equipo, y termina con la eliminación del último análisis o del área de equipo. No abarca los datos que el proveedor trata como responsable independiente: la cuenta del cliente, el pedido, el pago y la factura, la comunicación con el cliente y la consulta de datos públicos sobre competidores y sobre las personas que menciona un sitio web analizado (política de privacidad del proveedor).
2 Tipo de datos, finalidad e interesados
Interesados: personas mencionadas en el sitio web del cliente (por ejemplo, propietarios, empleados, autores); visitantes del sitio web del cliente de forma agregada, en la medida en que el cliente conecte fuentes de datos; empleados y encargados del cliente a los que este invita al área de equipo (miembros) y personas con las que se comparten informes mediante un enlace.
Datos del análisis: textos, metadatos y capturas de pantalla de páginas públicamente accesibles del sitio web del cliente, incluidos los datos sobre personas publicados en ellas; los datos del cliente para el análisis (empresa, sector, región, objetivos, público objetivo, competidores, datos del negocio); datos de las fuentes que conecta el cliente: Search Console (consultas de búsqueda y páginas con clics, impresiones, tasa de clics, posición), Google Analytics (datos agregados de visitas por canal, página de destino, dispositivo y país, sin datos de visitantes concretos), Tag Manager (contenedor publicado), Matomo y Microsoft Clarity (valores agregados por página); estado, responsables y comentarios en el seguimiento de medidas; enlaces compartidos (nombre, validez, visitas sin dirección IP).
Datos de los miembros: nombre, dirección de correo electrónico y rol, su foto de perfil si suben una; momentos de inicio de sesión y dispositivos para la gestión de sesiones (dirección IP abreviada); con el inicio de sesión con Google o LinkedIn, el identificador de la cuenta allí y su dirección de correo electrónico; permisos de cada miembro; qué miembro inició qué análisis; invitaciones (dirección de correo electrónico, permisos, mensaje personal) y altas mediante el enlace de invitación aún sin confirmar (nombre, dirección de correo electrónico); conversaciones de los miembros con el asistente de IA; el registro de accesos de las apps conectadas; el registro del equipo.
Finalidad: realización, visualización y uso compartido de los análisis; prestación del área de equipo, inicio de sesión, gestión de miembros y permisos, trazabilidad para el administrador del equipo, avisos por correo electrónico y respuestas del asistente de IA a las preguntas de los miembros.
3 Instrucciones
El proveedor trata los datos únicamente siguiendo instrucciones documentadas del cliente, es decir, tal como establecen este contrato, la descripción del servicio, los datos del cliente al hacer el pedido y los ajustes de la cuenta o del área de equipo. El cliente da otras instrucciones por escrito a la dirección de correo electrónico del proveedor. Si el proveedor considera que una instrucción es ilícita, se lo comunica al cliente. El cliente es responsable de la licitud del tratamiento frente a los interesados, incluida su información y, cuando exista, la participación del comité de empresa (el registro y la indicación «iniciado por» permiten ver quién hizo qué).
4 Obligaciones del encargado
El proveedor obliga a la confidencialidad a todas las personas que intervienen en el tratamiento, apoya al cliente en la medida habitual y sin coste adicional en las solicitudes de los interesados, en las evaluaciones de impacto y en las notificaciones a las autoridades de control, y lleva un registro de las actividades de tratamiento. El proveedor no está obligado a designar un delegado de protección de datos y no lo ha designado; la persona de contacto es el proveedor, en su dirección de correo electrónico.
5 Seguridad del tratamiento
El proveedor adopta las medidas técnicas y organizativas descritas en el Anexo 1 y las mantiene conforme al estado de la técnica. Puede adaptarlas siempre que no disminuya el nivel de protección.
6 Subencargados
El cliente acepta el uso de los subencargados indicados en el Anexo 2. El proveedor anuncia los subencargados nuevos o sustituidos con al menos 30 días de antelación en esta página y por correo electrónico a los administradores de los equipos. El cliente puede oponerse por causa justificada; si no se encuentra una solución, puede cancelar el plan de equipo en el momento del cambio o eliminar sus análisis. El proveedor obliga contractualmente a los subencargados a un nivel de protección equivalente.
7 Transferencias a terceros países
La aplicación y su base de datos funcionan en Alemania. Cuando los subencargados tratan datos fuera de la UE (véase el Anexo 2), solo lo hacen con garantías adecuadas conforme a los arts. 44 y siguientes del RGPD: una decisión de adecuación, como el EU-US Data Privacy Framework, o las cláusulas contractuales tipo de la Comisión Europea.
8 Derechos de los interesados
Si un interesado se dirige al proveedor con una solicitud (acceso, rectificación, supresión…), este la remite sin demora al cliente y le ayuda a responderla. El cliente puede eliminar análisis él mismo; el administrador del equipo puede quitar miembros él mismo en el área de equipo, y el proveedor elimina entonces el acceso de esa persona a este equipo. Los análisis que inició se quedan en el equipo.
9 Violaciones de la seguridad de los datos
El proveedor comunica al cliente las violaciones de la seguridad de los datos personales sin demora, como muy tarde en 48 horas desde que tenga conocimiento, con la información que el cliente necesita para su propia notificación, y adopta las medidas necesarias para limitar sus consecuencias.
10 Acreditación y controles
El proveedor acredita el cumplimiento de este contrato cuando se le solicita, por lo general mediante información y documentación. Las inspecciones in situ son posibles previo aviso con al menos cuatro semanas de antelación y en horario laboral habitual, como máximo una vez al año, salvo que exista un motivo especial; no deben poner en peligro el funcionamiento ni la confidencialidad de los datos de otros clientes. Los costes de una inspección in situ sin motivo concreto corren a cargo del cliente.
11 Supresión y devolución
Durante la vigencia, el proveedor elimina las entradas del registro de un equipo a los 3 meses, las entradas del registro de apps conectadas a los 90 días, los registros de correos enviados a los 90 días y las conversaciones con el asistente de IA a los 180 días sin actividad. Los registros de lo que un plazo de eliminación ha borrado automáticamente (solo números e identificadores) se eliminan a los 12 meses. Si el administrador del equipo quita a un miembro, su acceso termina de inmediato y el proveedor elimina el acceso de esa persona a este equipo junto con sus sesiones, sus conversaciones con el asistente de IA y sus apps conectadas. Si el cliente elimina un análisis, el proveedor lo elimina de inmediato junto con sus capturas de pantalla, descargas, enlaces compartidos y datos de fuentes de datos.
Cuando termina el área de equipo, se cierra la sesión de los miembros y se cierran todos los enlaces compartidos. El administrador del equipo puede leer y descargar los análisis, las descargas (PDF y hoja de cálculo) y las facturas durante 30 días más. Después el proveedor elimina el equipo por completo –análisis, enlaces compartidos, cuentas de los miembros, invitaciones y registro–, salvo que exista una obligación legal de conservación (facturas: 8 años). Las copias en las copias de seguridad caducan como muy tarde a los 14 días. Si el proveedor bloquea un área de equipo, queda cerrada para todos.
12 Disposiciones finales
En caso de contradicción entre este contrato y las condiciones generales de contratación, este contrato prevalece en materia de protección de datos. La responsabilidad se rige por el art. 82 del RGPD y, en lo demás, por las condiciones generales de contratación. El proveedor anuncia los cambios con el plazo del apartado 6; la versión determinante es la indicada arriba. Se aplica el derecho alemán.
Anexo 1 – Medidas de protección
- Acceso al sistema: inicio de sesión mediante enlace por correo, contraseña (guardada solo como valor de comprobación y comprobada frente a filtraciones de datos conocidas) o, si está configurado, con Google o LinkedIn (el proveedor solo recibe el identificador, la dirección de correo y el nombre de la cuenta allí –de LinkedIn, además, el enlace a la foto de perfil y el idioma, que descarta–, sin acceso a datos allí); intentos de acceso limitados; sesiones por dispositivo visibles y finalizables; las cuentas de equipo solo valen en la dirección de su equipo.
- Acceso a los datos: separación de los datos por cuenta y por equipo; permisos por miembro (leer, iniciar, compartir), administración solo por el administrador del equipo; enlaces compartidos con fecha de caducidad, contraseña y bloqueo; los destinatarios solo leen.
- Transmisión: exclusivamente cifrada (TLS); las direcciones de equipo, los análisis y los enlaces compartidos están bloqueados para los buscadores.
- Trazabilidad: registro por equipo, eliminación a los 3 meses; registro de accesos de las apps conectadas.
- Protección frente a abusos: límites al número de llamadas en el inicio de sesión, la contratación y las descargas; solo se guarda un valor de comprobación cifrado (seudónimo), nunca la dirección IP ni la dirección de correo electrónico.
- Servidor: funcionamiento en un centro de datos de Fráncfort del Meno; acceso administrativo al servidor solo para el proveedor y solo cifrado; la aplicación funciona por separado en contenedores sin permisos de administrador; las actualizaciones se comprueban automáticamente antes de instalarse.
- Copias de seguridad: copia diaria de la base de datos y de la carpeta de datos; conservación durante 14 días en el servidor y 30 días en una copia en poder del proveedor en Alemania; una lista de eliminación garantiza que lo eliminado siga eliminado tras restaurar una copia de seguridad.
- Secretos: las claves de acceso del proveedor a los servicios están solo en el entorno del servidor, no en la base de datos ni en la interfaz. Si un cliente guarda sus propios accesos a servicios de IA, el proveedor almacena esas claves cifradas en la base de datos; la interfaz solo muestra sus cuatro últimos caracteres. Si un cliente decide guardar un acceso a una fuente de datos (Google, Matomo, Microsoft Clarity) para los análisis de seguimiento de un paquete anual, este acceso se guarda igualmente cifrado en la base de datos, como máximo hasta el último análisis de seguimiento del paquete, el reembolso del paquete, la eliminación de la cuenta o hasta que el cliente lo desconecte.
- Organización: acceso a los datos de los clientes solo en la medida necesaria para el funcionamiento, la corrección de errores o una solicitud del cliente; las exportaciones de datos personales por parte del proveedor quedan registradas.
Anexo 2 – Subencargados
Qué proveedor asume cada tarea lo determinan los ajustes de la plataforma; la lista muestra el estado de hoy. Los textos del informe los redacta OpenAI y las sugerencias del formulario de pedido, OpenAI; el asistente de IA funciona con OpenAI y la traducción de informes con OpenAI; para la visibilidad en respuestas de IA preguntamos a ChatGPT, Gemini, Perplexity y Claude.
Hostinger International Ltd.
- Servicio
Servidor (VPS): funcionamiento de la aplicación y almacenamiento de todos los datos
- Lugar del tratamiento
Chipre (sede); centro de datos en Fráncfort del Meno, Alemania
- Datos
todos los datos del apartado 2
Resend
- Servicio
- Envío de correos electrónicos (invitaciones, enlaces de acceso, avisos sobre el cupo, «el informe está listo»)
- recepción de correos enviados a las direcciones del proveedor
- Lugar del tratamiento
EE. UU., EU-US Data Privacy Framework (certificada)
- Datos
nombre, dirección de correo electrónico y contenido del mensaje correspondiente; en las invitaciones, también el mensaje personal del administrador del equipo
OpenAI Ireland Ltd.
- Servicio
- Textos del informe (modelo de análisis)
- Sugerencias en el formulario de pedido
- Asistente de IA
- Traducción de informes
- Consultas sobre la visibilidad en ChatGPT
- Lugar del tratamiento
Irlanda; acceso desde EE. UU. sobre la base de las cláusulas contractuales tipo de la UE
- Datos
- Textos del informe: contenidos de la web analizada (también las personas mencionadas en ella), mediciones y los datos para el análisis (empresa, sector, región, objetivos, público objetivo, competidores); si el cliente los ha conectado, también datos de Search Console (consultas de búsqueda y páginas con clics, impresiones, tasa de clics, posición) y de Google Analytics (nombre de la propiedad; sesiones, interacción y conversiones por canal, página de destino, dispositivo y país).
- Sugerencias: dirección, título, descripción, encabezados y un extracto del texto de la página de inicio, el texto del aviso legal y el nombre de la empresa.
- Asistente de IA: los mensajes del miembro y, si pregunta por ellos, contenidos de los análisis y datos de su cuenta y del equipo: nombre, dirección de correo electrónico, dispositivos con sesión iniciada (sin dirección IP), rol, permisos y consumo y, en el caso del administrador del equipo, datos de la suscripción; dirección de facturación y NIF-IVA si están guardados en la cuenta.
- Traducción: los textos del informe.
- Visibilidad: preguntas sobre la web analizada, la marca y el sector.
Anthropic Ireland, Limited
- Servicio
- Consultas sobre la visibilidad en Claude
- Búsqueda web de competidores
- Lugar del tratamiento
Irlanda; acceso desde EE. UU. sobre la base de las cláusulas contractuales tipo de la UE
- Datos
- Visibilidad: preguntas sobre la web analizada, la marca y el sector.
- Competidores: dominio, oferta y región de la web analizada.
- Ningún dato de cuentas ni de miembros.
Google Ireland Limited / Google LLC
- Servicio
- Consultas sobre la visibilidad en Gemini
- Medición de los tiempos de carga con PageSpeed Insights y Chrome UX Report
- Entidad en Google (Knowledge Graph, Natural Language)
- Search Console, solo si el cliente la conecta para un análisis
- Google Analytics, solo si el cliente lo comparte para un análisis
- Google Tag Manager, solo si el cliente lo comparte para un análisis
- Lugar del tratamiento
Irlanda y EE. UU.; Google LLC, certificada conforme al EU-US Data Privacy Framework
- Datos
- Visibilidad: preguntas sobre la web analizada, la marca y el sector.
- Tiempos de carga: direcciones de las páginas comprobadas.
- Entidad: nombre de la empresa y extractos de texto de la página de inicio y de la página «Sobre nosotros» de la web analizada.
- Search Console: el inicio de sesión en Google; se leen los datos de clics y búsquedas de la web conectada.
- Google Analytics: el inicio de sesión en Google; se leen datos agregados de visitas de la web conectada (sesiones, canales, páginas de destino, dispositivos, países, conversiones), sin datos de visitantes concretos.
- Google Tag Manager: el inicio de sesión en Google; se lee la versión publicada del contenedor de la web conectada (tipos y nombres de etiquetas, ID de medición, ajustes de consentimiento), sin datos de visitantes.
- Ningún dato de cuentas ni de miembros.
Perplexity AI, Inc.
- Servicio
Consultas sobre la visibilidad en Perplexity
- Lugar del tratamiento
EE. UU.; cláusulas contractuales tipo de la UE; las consultas no se guardan
- Datos
- Visibilidad: preguntas sobre la web analizada, la marca y el sector.
- Ningún dato de cuentas ni de miembros.
DataForSEO OÜ
- Servicio
- Resultados de búsqueda, métricas de términos de búsqueda y backlinks
- perfil de empresa, valoraciones, menciones y respuestas de búsquedas con IA sobre la web analizada
- Lugar del tratamiento
Estonia (UE)
- Datos
términos de búsqueda, dominios, nombre de la empresa y preguntas sobre la web analizada; nombres de personas que la propia web analizada indica como propietarias o autoras (búsqueda de perfiles profesionales); ningún dato de cuentas ni de miembros
ElevenLabs (Eleven Labs Inc.)
- Servicio
Locución del vídeo del análisis, solo con el complemento
- Lugar del tratamiento
EE. UU., EU-US Data Privacy Framework (certificada)
- Datos
el texto de la narración del vídeo: empresa, sitio web y resultados del análisis; ningún dato de cuentas ni de miembros
Los pagos los gestiona Stripe Payments Europe, Limited (Irlanda) como responsable independiente; para ello Stripe recibe los datos de facturación del cliente, ningún dato de los miembros.
La aplicación llama además a servicios que no reciben datos de los miembros ni datos sobre personas: la interfaz VIES de la Comisión Europea (el NIF-IVA del cliente), «Pwned Passwords» de Have I Been Pwned (los primeros 5 caracteres de un valor de comprobación cuando alguien establece una contraseña) y registros y archivos públicos para el análisis: Wikidata, la Fundación Wikimedia (visitas de un artículo de Wikipedia), registros de dominios (RDAP), Internet Archive, directorios de certificados TLS, Common Crawl, HTTP Archive, las bibliotecas de anuncios de Google y Meta y Brave Search; reciben el dominio y el nombre de la empresa de la web analizada y, Wikimedia, el título del artículo.