para las funciones en la nube de EZZE WCAG Pro
Fecha de entrada en vigor: 2026-10-14
Este Addendum de tratamiento de datos (« DPA ») forma parte del acuerdo celebrado entre:
(1) el cliente / responsable del tratamiento, es decir, la persona física o jurídica que acepta este DPA o en cuyo nombre se utilizan o activan los Servicios (« Cliente » o « Responsable del tratamiento »),
y
(2) Patrick Helms, Neue Heimat 20, 15848 Beeskow, Alemania, support@ezze-wcag-pro.com, https://ezze-wcag-pro.com/support/ (« Proveedor » o « Encargado del tratamiento »),
en relación con el uso de EZZE WCAG Pro y de sus funciones opcionales basadas en la nube (los « Servicios »).
El Cliente acepta este DPA marcando la casilla correspondiente, activando una función en la nube cubierta por este DPA o utilizando de cualquier otra forma los Servicios. La persona que acepta este DPA declara y garantiza que está autorizada para vincular al Cliente a este DPA.
1. Alcance y aplicabilidad
- Este DPA se aplica únicamente en la medida en que el Proveedor trate Datos personales por cuenta del Cliente como Encargado del tratamiento en relación con las funciones opcionales en la nube de EZZE WCAG Pro.
- Este DPA no se aplica a:
- funciones que operen exclusivamente de forma local en los sistemas del Cliente sin transmisión al Proveedor o a los subencargados del Proveedor;
- tratamientos para los que el Proveedor, Freemius, proveedores de pago u otros terceros actúen como responsables del tratamiento independientes;
- usos puramente privados o domésticos fuera del ámbito de la normativa aplicable de protección de datos, cuando corresponda.
- En caso de conflicto entre este DPA y el acuerdo principal, este DPA prevalecerá respecto del objeto del Tratamiento realizado en virtud de este DPA.
2. Definiciones
A efectos de este DPA, los términos Datos personales, Responsable del tratamiento, Encargado del tratamiento, Interesado, Tratamiento, Violación de datos personales, Autoridad de control y Normativa aplicable de protección de datos tendrán el significado que les atribuyen el RGPD, el UK GDPR, la LPD suiza y demás normas aplicables en materia de privacidad, según corresponda.
3. Roles de las partes
- El Cliente actúa como Responsable del tratamiento de los Datos personales tratados en virtud de este DPA.
- El Proveedor actúa como Encargado del tratamiento y trata los Datos personales únicamente siguiendo instrucciones documentadas del Cliente, salvo que la ley aplicable exija otra cosa.
- Las partes reconocen que determinados servicios relacionados pueden ser prestados por terceros que actúan en nombre propio. Dicho tratamiento no se rige por este DPA salvo en la medida en que el tercero actúe como subencargado del Proveedor.
4. Objeto, naturaleza, finalidad y duración
4.1 Objeto
El Proveedor presta servicios opcionales basados en la nube dentro de EZZE WCAG Pro, incluidos, según los configure o active el Cliente:
- pruebas y reportes de accesibilidad basados en la nube;
- generación asistida por IA de texto alternativo;
- explicaciones, indicaciones de corrección o resúmenes de incidencias asistidos por IA;
- insights, recomendaciones o análisis agregados asistidos por IA;
- soporte, diagnóstico, prevención de abusos y operaciones del servicio relacionadas con dichas funciones.
4.2 Naturaleza del Tratamiento
El Tratamiento puede incluir la recogida, transmisión, organización, almacenamiento, consulta, análisis, generación de texto de salida, limitación, supresión y otras operaciones necesarias para prestar los Servicios.
4.3 Finalidad del Tratamiento
La finalidad del Tratamiento es prestar, asegurar, mantener y dar soporte a la funcionalidad opcional en la nube de EZZE WCAG Pro solicitada o activada por el Cliente.
4.4 Duración
El Tratamiento continuará durante la vigencia del acuerdo principal y durante cualquier período limitado de conservación que sea razonablemente necesario para procesos de supresión, rotación de copias de seguridad, cumplimiento legal, prevención del fraude, registros de seguridad, resolución de controversias o formulación, ejercicio o defensa de reclamaciones legales.
5. Categorías de interesados
Dependiendo de la implementación y uso de los Servicios por parte del Cliente, los Interesados pueden incluir:
- visitantes del sitio web;
- usuarios, editores, administradores y contactos de soporte del Cliente;
- personas cuyos Datos personales aparezcan en el contenido del sitio web, medios, metadatos, resultados de pruebas, capturas de pantalla, tickets de soporte o configuraciones enviados a los Servicios.
6. Categorías de Datos personales
Dependiendo de la funcionalidad activada, los Datos personales pueden incluir:
- URL de páginas y datos de solicitud relacionados;
- URL de imágenes, identificadores de medios, nombres de archivos y metadatos;
- hallazgos de accesibilidad, descripciones de incidencias, identificadores de auditoría, fragmentos DOM o HTML, valores relacionados con CSS, capturas de pantalla y resultados técnicos de pruebas;
- idioma, configuración regional, configuración de funciones, versión del plugin, identificadores del sitio y metadatos de instalación;
- identificadores de licencia, suscripción, plan y referencia del sitio cuando sean necesarios para la habilitación del servicio, la prevención de abusos o el soporte;
- datos limitados de registro, diagnóstico y seguridad, incluida la dirección IP cuando sea necesaria;
- prompts, texto de salida, texto alternativo, explicaciones, recomendaciones y resúmenes generados mediante funcionalidades asistidas por IA;
- comunicaciones de soporte y archivos adjuntos relacionados enviados por el Cliente.
Instrucción del Cliente: el Cliente no deberá enviar categorías especiales de Datos personales salvo que el Servicio las admita expresamente y estén cubiertas por salvaguardas documentadas adicionales.
7. Instrucciones del Cliente
- El Proveedor tratará los Datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluido este DPA, el acuerdo principal, la configuración del Cliente, el uso de los Servicios por parte del Cliente y cualesquiera instrucciones escritas adicionales aceptadas por el Proveedor.
- El Cliente instruye al Proveedor para que trate los Datos personales en la medida necesaria para prestar las funciones concretas en la nube seleccionadas, activadas o utilizadas por el Cliente.
- Si el Proveedor considera que una instrucción infringe la Normativa aplicable de protección de datos, informará al Cliente sin dilación indebida.
8. Confidencialidad
El Proveedor velará por que las personas autorizadas para tratar Datos personales:
- estén sujetas a obligaciones de confidencialidad o a un deber legal de confidencialidad adecuado;
- reciban formación apropiada en materia de privacidad y seguridad;
- accedan a los Datos personales únicamente en la medida necesaria para el desempeño de sus funciones.
9. Medidas de seguridad
- El Proveedor aplicará y mantendrá medidas técnicas y organizativas apropiadas destinadas a proteger los Datos personales frente a destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, ya sean accidentales o ilícitos.
- Dichas medidas podrán incluir, según corresponda:
- control de acceso basado en roles y autenticación;
- principios de mínimo privilegio;
- cifrado en tránsito y, cuando proceda, en reposo;
- separación de entornos y segregación lógica;
- registro y monitorización de seguridad;
- gestión de vulnerabilidades y parcheado;
- procedimientos de copia de seguridad y restauración;
- procedimientos de respuesta a incidentes y continuidad del negocio;
- revisión y prueba periódica de las medidas de seguridad.
- Las medidas técnicas y organizativas actualmente aplicadas por el Proveedor se describen con mayor detalle en el Anexo 2.
10. Asistencia al Cliente
Teniendo en cuenta la naturaleza del Tratamiento y la información de que dispone el Proveedor, este asistirá al Cliente, en la medida de lo razonablemente posible, para:
- responder a solicitudes de los Interesados;
- cumplir las obligaciones relativas a la seguridad del Tratamiento;
- notificar Violaciones de datos personales y elaborar la documentación relacionada;
- realizar evaluaciones de impacto relativas a la protección de datos;
- efectuar consultas previas a las autoridades competentes cuando sea necesario.
11. Violaciones de datos personales
- El Proveedor notificará al Cliente sin dilación indebida después de tener conocimiento de una Violación de datos personales que afecte a Datos personales tratados en virtud de este DPA.
- En la medida en que esté disponible, dicha notificación incluirá:
- la naturaleza de la violación;
- las categorías de Interesados y de Datos personales afectados;
- las consecuencias probables;
- las medidas adoptadas o propuestas;
- los datos de contacto para el seguimiento.
12. Subencargados
- El Cliente concede al Proveedor una autorización general por escrito para contratar subencargados para el Tratamiento de Datos personales en virtud de este DPA.
- El Proveedor mantendrá una lista actualizada de subencargados y la pondrá a disposición en: https://ezze-wcag-pro.com/es/subencargados/.
- El Proveedor informará al Cliente de incorporaciones o sustituciones relevantes de subencargados mediante la actualización de la lista y, cuando proceda, mediante un aviso adicional.
- El Cliente podrá oponerse a un nuevo subencargado por motivos razonables de protección de datos dentro de los 30 días siguientes a la notificación.
- El Proveedor impondrá a los subencargados obligaciones de protección de datos no menos protectoras que las establecidas en este DPA, en la medida aplicable a los servicios prestados.
12.1 Lista actual de subencargados
IONOS Cloud GmbH
- Rol: subencargado
- Finalidad: alojamiento de la infraestructura proxy/nube, tratamiento técnico, registros y almacenamiento persistente de datos relevantes para el tratamiento
- Ubicación: Unión Europea
- Base de la transferencia: Según la configuración actual, el alojamiento ordinario de la infraestructura proxy/nube tiene lugar dentro de la Unión Europea; actualmente no existe transferencia a un tercer país a través de IONOS para este alojamiento.
- Referencia: https://cloud.ionos.com/protection ; https://www.ionos.de/hilfe/datenschutz/allgemeine-informationen-zur-datenschutz-grundverordnung-dsgvo/vereinbarung-zur-auftragsverarbeitung-avv-mit-ionos-abschliessen/
OpenAI Ireland Ltd.
- Rol: subencargado
- Finalidad: texto alternativo con IA, explicaciones / soluciones con IA, AI Insights, revisión de accesibilidad de imágenes con IA
- Ubicación: Irlanda / tratamiento posterior según el marco contractual de OpenAI, cuando proceda
- Base de la transferencia: En la medida en que los Datos personales se transfieran fuera del EEE, ello se realizará sobre la base del Data Processing Addendum de OpenAI y de los mecanismos de transferencia previstos en él, incluidas las cláusulas contractuales tipo cuando sean necesarias.
- Referencia: https://openai.com/policies/data-processing-addendum/
Nota: la API de Google PageSpeed Insights no figura aquí como subencargado principal clásico. Se informa de ella por separado como servicio externo utilizado para pruebas de accesibilidad. En particular, la URL enviada por el Cliente para la prueba se transmite a la API de Google PageSpeed Insights.
13. Transferencias internacionales de datos
- El Proveedor podrá transferir Datos personales fuera de la jurisdicción del Cliente, incluido fuera del EEE, del Reino Unido o de Suiza, o hacer que dichos datos se traten allí únicamente cuando dicha transferencia o tratamiento esté permitido por la Normativa aplicable de protección de datos.
- De acuerdo con la configuración actual del servicio, se aplica en particular lo siguiente a los principales servicios externos utilizados:
- IONOS Cloud GmbH (hosting / ubicación del servidor en la Unión Europea): según la configuración actual, la infraestructura proxy/nube se aloja dentro de la Unión Europea; actualmente no existe transferencia a un tercer país a través de IONOS para este alojamiento.
- OpenAI Ireland Ltd.: en la medida en que los Datos personales se transfieran fuera del EEE, ello se realiza sobre la base del Data Processing Addendum de OpenAI y de los mecanismos de transferencia previstos en él, incluidas las cláusulas contractuales tipo cuando sean necesarias.
- Cuando una decisión de adecuación, las cláusulas contractuales tipo, el UK International Data Transfer Addendum u otro mecanismo lícito de transferencia se apliquen a una actividad concreta de tratamiento, la transferencia se realizará sobre esa base.
- Se facilitará información sobre los mecanismos de transferencia aplicables a solicitud, sujeta a restricciones de confidencialidad y seguridad.
14. Supresión y devolución de datos
- A la terminación o expiración de los Servicios, el Proveedor, a elección del Cliente, suprimirá o devolverá los Datos personales tratados en virtud de este DPA, salvo que la legislación aplicable exija su conservación.
- El Proveedor podrá conservar Datos personales durante un período limitado cuando ello sea necesario para el cumplimiento legal, registros de seguridad, prevención del fraude, rotación de copias de seguridad o gestión de reclamaciones legales.
- A solicitud del Cliente, el Proveedor confirmará la finalización de la supresión, salvo que la ley lo prohíba o sea técnicamente inviable respecto de soportes residuales de copia de seguridad, en cuyo caso el Proveedor seguirá protegiendo los datos y aislándolos de cualquier Tratamiento activo posterior.
15. Auditorías y derechos de información
- El Proveedor pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA.
- Cuando sea razonablemente necesario, el Cliente podrá realizar una auditoría por sí mismo o a través de un auditor independiente sujeto a obligaciones de confidencialidad, siempre que:
- se otorgue un preaviso razonable;
- la auditoría se limite a cuestiones pertinentes para este DPA;
- la auditoría no perturbe de forma irrazonable las operaciones del Proveedor;
- el Cliente asuma sus propios costes de auditoría, salvo que la auditoría revele un incumplimiento material del Proveedor.
- El Proveedor podrá cumplir parcialmente sus obligaciones de auditoría proporcionando, cuando proceda, certificaciones actualizadas, informes de auditoría, resúmenes de pruebas de penetración, cuestionarios o acreditaciones de seguridad.
16. Responsabilidad
- En la medida en que las partes hayan suscrito un acuerdo principal separado que contenga disposiciones sobre responsabilidad, dichas disposiciones se aplicarán también a este DPA en la medida y durante el tiempo en que dicha aplicación esté permitida por la Normativa aplicable de protección de datos.
- En la medida en que no exista un acuerdo principal separado con disposiciones de responsabilidad divergentes, la responsabilidad de las partes se regirá por las disposiciones legales aplicables.
17. Ley aplicable
Este DPA se regirá por las leyes de la República Federal de Alemania, excluidas las normas sobre conflicto de leyes, siempre que las normas imperativas de protección de datos que protegen a los Interesados permanezcan inalteradas.
Anexo 1 – Descripción del Tratamiento
Producto: EZZE WCAG Pro
Servicios cubiertos: pruebas de accesibilidad en la nube, texto alternativo generado por IA, explicaciones y recomendaciones de corrección generadas por IA, AI Insights, tratamiento relacionado con soporte y operaciones de servicio asociadas.
Finalidad: prestación, mantenimiento, soporte, seguridad y prevención de abusos de los Servicios solicitados.
Interesados: visitantes del sitio web, usuarios y administradores del Cliente, contactos de soporte y personas cuyos datos aparezcan en contenidos del Cliente enviados a los Servicios.
Categorías de Datos personales: URL, fragmentos de contenido, datos de imagen o URL de imagen, diagnósticos, identificadores de sitio/licencia, datos de configuración, contenido de soporte, datos de entrada/salida de IA y datos de uso, registro y seguridad (por ejemplo, marcas temporales, tipo de evento, dirección IP, metadatos de proveedor/modelo y estimaciones de tokens/costes) en la medida en que se traten en relación con los Servicios.
Notas adicionales sobre el tratamiento: los datos de uso y cuota pueden registrarse en el servidor en relación con los Servicios. Según la configuración técnica actual, los archivos de imagen no se almacenan de forma persistente en el proxy como función del producto. El registro ampliado de depuración / errores solo se activa cuando es necesario, por ejemplo para resolución de problemas o soporte. Para las pruebas de accesibilidad, la API de Google PageSpeed Insights también puede utilizarse como servicio externo para analizar la URL enviada por el Cliente.
Categorías especiales: no previstas salvo compatibilidad expresa y salvaguardas independientes.
Anexo 2 – Medidas técnicas y organizativas (TOM)
Sobre la base de la implementación actual, el Proveedor mantiene en particular las siguientes medidas:
- alojamiento de la infraestructura proxy/nube con IONOS Cloud GmbH, con ubicación del servidor dentro de la Unión Europea;
- transmisión cifrada de todos los endpoints proxy relevantes mediante HTTPS/TLS;
- cifrado en reposo conforme a la configuración actual de hosting;
- protección del acceso administrativo mediante autenticación multifactor;
- restricción del acceso administrativo a una única cuenta administrativa;
- registro de eventos de uso, seguridad y errores; el registro ampliado de depuración / errores solo se activa cuando es necesario, por ejemplo para resolución de problemas o soporte;
- copias de seguridad externas cifradas de la infraestructura proxy/nube con un proveedor de copias de seguridad operado en Alemania;
- gestión de cambios y parcheado según las necesidades;
- gestión y escalado de incidentes mediante procedimientos organizativos internos;
- gestión e incorporación contractual de subencargados.
Disponibilidad, recuperación y medidas organizativas de seguridad
Copias de seguridad / recuperación
El Proveedor opera copias de seguridad técnicas externas y cifradas de la infraestructura proxy/nube. Las copias de seguridad se almacenan con un proveedor de copias de seguridad en Alemania. El acceso está limitado a fines administrativos autorizados de restauración, seguridad y emergencia y está protegido mediante controles técnicos de acceso. La conservación de las copias de seguridad es limitada y rotativa; los puntos de restauración más antiguos se eliminan conforme al concepto de copias de seguridad. Los datos contenidos en copias de seguridad no se tratan activamente; después de una restauración, se aplican nuevamente las reglas ordinarias de supresión y conservación.
Pruebas de restauración
Se ha completado correctamente una prueba inicial de restauración desde el repositorio externo de producción. Está previsto repetir y documentar las pruebas de restauración a intervalos apropiados.
Entornos de prueba y producción
El Proveedor no dispone actualmente de un entorno de prueba separado. Por ello, los cambios en el proxy y en la infraestructura de servicio se realizan de forma controlada y con especial cautela en el entorno de producción. Actualmente no existe un modelo de roles multinivel; el acceso a las funciones administrativas está restringido a una única cuenta administrativa protegida mediante autenticación multifactor.
Respuesta a incidentes / incidentes de seguridad
El Proveedor no dispone actualmente de un plan escrito formal de respuesta a incidentes. No obstante, los incidentes de seguridad, las interrupciones y los hechos relevantes desde el punto de vista de la protección de datos se gestionan internamente caso por caso, incluyendo detección, contención, subsanación, análisis de causa raíz y, cuando sea necesario, notificación a los clientes afectados. Está prevista una documentación formal adicional de este proceso.
Anexo 3 – Referencia a la lista de subencargados
Lista actual disponible en: https://ezze-wcag-pro.com/es/subencargados/
La lista contiene, cuando proceda:
- nombre del subencargado;
- descripción del servicio;
- ubicación;
- mecanismo aplicable de transferencia internacional;
- URL de referencia relevante en materia de privacidad / seguridad.