Acuerdo de encargo del tratamiento

1. Aplicación de este acuerdo

El presente Acuerdo de encargo del tratamiento (en adelante, «el Acuerdo») forma parte de las Condiciones del servicio celebradas entre ALK Innovations y el Cliente. Se aplica a los datos personales que ALK Innovations trata por cuenta del Cliente cuando le presta el Servicio Trupeo, tal como se describen en el anexo II. Las palabras Cliente y Servicio tienen el sentido que les dan las Condiciones del servicio.

Las partes

El Cliente es el responsable del tratamiento y ALK Innovations es su encargado del tratamiento. En las cláusulas que siguen, «el responsable» designa al Cliente y «el encargado» designa a ALK Innovations.

Las cláusulas contractuales tipo

Las partes 2 a 4 reproducen, sin modificarlas, las cláusulas contractuales tipo entre responsables y encargados del tratamiento adoptadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/915, de 4 de junio de 2021 (en adelante, «las Cláusulas»). Las partes 5 a 8 son sus anexos I a IV. Cuando las Cláusulas dejan una elección, las partes han elegido el Reglamento (UE) 2016/679 (el RGPD) y no el Reglamento (UE) 2018/1725, que solo se aplica a las instituciones y órganos de la Unión Europea, y, en la cláusula 7.7, la autorización general por escrito, con un preaviso de 30 días. La cláusula 5, opcional, no se utiliza.

Aceptación

El Cliente acepta este Acuerdo al aceptar las Condiciones del servicio, sin necesidad de firmarlo. Para un Cliente que aceptó las Condiciones del servicio antes del 24 de octubre de 2026, este Acuerdo se aplica a partir de esa fecha. Solo crea obligaciones a cargo de ALK Innovations y, por ello, surte efecto desde su publicación, sin el preaviso del artículo 21 de las Condiciones del servicio. ALK Innovations entrega un ejemplar firmado en su nombre a todo Cliente que lo solicite a través del formulario de contacto.

Las instrucciones documentadas del Cliente

Las instrucciones del Cliente, en el sentido de la cláusula 7.1, son este Acuerdo, las Condiciones del servicio y lo que los usuarios del Cliente hacen en el Servicio y en sus ajustes: conectar un buzón, invitar o retirar a un miembro, escribir, asignar, clasificar o mover a la papelera una conversación, exportar datos, conectar un asistente, etc.

Conectar un asistente como Claude o ChatGPT a una cuenta de Trupeo es una instrucción de poner datos a disposición de ese asistente, dentro de los derechos del usuario que lo conectó. El asistente actúa entonces bajo la responsabilidad de la empresa que lo gestiona, según sus propias condiciones: no es un subencargado de ALK Innovations.

Lo que este Acuerdo no cubre

ALK Innovations no es el encargado del Cliente, sino responsable del tratamiento por derecho propio, para los tratamientos que realiza con sus propios fines: gestión de las cuentas de usuario, facturación, seguridad del Servicio, atención de las solicitudes que los usuarios envían al equipo de Trupeo, medición de audiencia y de uso del producto, y gestión de la relación con los clientes. Esos tratamientos se describen en la Política de privacidad, que los rige.

Cambios y otras disposiciones

ALK Innovations mantiene los anexos actualizados a medida que el Servicio evoluciona, lo que permite la cláusula 2. Un cambio en la lista de subencargados sigue la cláusula 7.7: se informa de él por correo al propietario de cada buzón con al menos 30 días de antelación. Cualquier otro cambio sigue el artículo 21 de las Condiciones del servicio. Todo lo que este Acuerdo no regula, incluidas la ley aplicable y la jurisdicción competente, lo regulan las Condiciones del servicio; en caso de contradicción, la cláusula 4 hace prevalecer las Cláusulas.

2. Sección I: disposiciones generales

Cláusula 1: Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2: Invariabilidad del pliego de cláusulas

a) Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3: Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4: Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Cláusula 5: Cláusula de incorporación (opcional)

Esta cláusula opcional no se utiliza en el presente acuerdo.

3. Sección II: obligaciones de las partes

Cláusula 6: Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7: Obligaciones de las partes

7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8: Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

1. la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;

2. la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;

3. la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;

4. las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9: Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

1. la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

2. las consecuencias probables de la violación de la seguridad de los datos personales;

3. las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

4. Sección III: disposiciones finales

Cláusula 10: Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

1. el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

2. el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;

3. el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

5. Anexo I: lista de partes

Responsable

Nombre: el Cliente, es decir, la organización que contrató el Servicio, tal como figura en su cuenta de Trupeo y en sus datos de facturación.

Dirección: la dirección indicada en los datos de facturación del Cliente.

Nombre, cargo y datos de contacto de la persona de contacto: el propietario de cada buzón que el Cliente ha conectado, en la dirección de correo de su cuenta de Trupeo. Un Cliente que haya designado un delegado de protección de datos puede comunicar sus datos a través del formulario de contacto.

Firma y fecha de adhesión: la fecha en que el Cliente aceptó las Condiciones del servicio o, para un Cliente que ya las había aceptado, el 24 de octubre de 2026.

Encargado

Nombre: ALK Innovations, SASU con un capital de 1.000 €, inscrita en el RCS de Nantes con el número 983 856 642.

Dirección: 31 avenue des Korrigans, 44300 Nantes, Francia.

Nombre, cargo y datos de contacto de la persona de contacto: Quentin Georget, presidente de ALK Innovations y su interlocutor para la protección de los datos personales, a través del formulario de contacto (seleccionando «Solicitud RGPD») o por correo postal en la dirección anterior. ALK Innovations no ha designado un delegado de protección de datos.

Firma y fecha de adhesión: la publicación del presente Acuerdo, el 24 de octubre de 2026.

6. Anexo II: descripción del tratamiento

Categorías de interesados cuyos datos personales se tratan

• Los usuarios del Cliente: los miembros de cada uno de sus buzones compartidos y las personas invitadas a unirse a uno.
• Los corresponsales del Cliente: los remitentes y destinatarios de los correos de sus buzones conectados, y cualquier persona que esos correos o sus archivos adjuntos mencionen.
• Las personas de la libreta de direcciones de cada buzón, incluidos los contactos que se mantienen iguales que en Google Contacts o en Outlook.

Según la actividad del Cliente, entre estas personas puede haber menores, en particular en un centro educativo.

Categorías de datos personales tratados

• Los correos: los mensajes de cada buzón conectado (asunto, cuerpo, remitentes, destinatarios, fechas, archivos adjuntos, etiquetas y carpetas), y los correos que los usuarios del Cliente escriben y envían desde el Servicio.
• La conexión a cada buzón: su dirección, y aquello con lo que Trupeo se conecta a él (el acceso concedido por Google o Microsoft, o los datos de acceso IMAP y SMTP).
• Lo que el equipo escribe y hace en Trupeo: notas para el equipo, asignaciones, estados, etiquetas, ámbitos, firmas, y el historial de esas acciones con el miembro que realizó cada una.
• La libreta de direcciones: las direcciones leídas en los correos con el nombre que les da cada mensaje, el número y las fechas de los intercambios, lo que el equipo añade (nombre, empresa, cargo, números de teléfono, nota), los grupos de contactos y, cuando está activado, los contactos intercambiados con Google Contacts u Outlook.
• Los miembros tal como los ven sus compañeros: nombre, dirección de correo y foto de perfil.

Datos sensibles tratados (si procede) y restricciones o garantías aplicadas

ALK Innovations no pide datos sensibles ni los busca, pero los correos pueden contenerlos, como todo lo que escribe un corresponsal. Se protegen como todos los correos, con estas restricciones:

• una limitación estricta de la finalidad: los correos solo se tratan para prestar el Servicio, nunca con fines publicitarios y nunca para entrenar modelos de inteligencia artificial;
• el texto de los mensajes y los archivos adjuntos se cifran con una clave propia de cada buzón (anexo III);
• solo los miembros a los que el Cliente da acceso a un buzón lo ven, dentro de los ámbitos que el Cliente fija;
• nadie en ALK Innovations lee los correos, salvo a petición expresa del Cliente para atender una solicitud de asistencia, cuando la seguridad lo exige, por ejemplo para investigar un abuso, o para cumplir una obligación legal, y cada vez que el equipo de Trupeo abre una cuenta, queda registrado (anexo III).

Naturaleza del tratamiento

Recogida de los correos en el servicio de correo del Cliente (mediante la API de Gmail, Microsoft Graph, o IMAP y SMTP), conservación, organización y presentación a los miembros, búsqueda, envío de correos por cuenta del Cliente, aplicación en el servicio de correo de las acciones que los miembros realizan en Trupeo (leído, archivado, papelera, spam), mantenimiento de la libreta de direcciones igual que Google Contacts u Outlook cuando está activado, notificación a los miembros (en la aplicación, por correo y en sus dispositivos), exportación de los datos a petición del Cliente, y supresión.

Finalidad(es) del tratamiento de los datos personales por cuenta del responsable del tratamiento

Prestar al Cliente el Servicio descrito en las Condiciones del servicio: un buzón compartido en el que el equipo del Cliente lee, reparte, sigue y responde los correos de sus buzones conectados. Y, solo para ese Servicio: consultar los buzones del Cliente cuando este lo pide para responder a una de sus solicitudes de asistencia, y mantener la seguridad del Servicio.

Duración del tratamiento

Durante la vigencia del contrato. Cuando una suscripción termina, el buzón afectado y sus datos se eliminan al final del periodo pagado, o 14 días después de la cancelación si esa fecha es posterior, salvo que el Cliente reactive la suscripción antes (artículo 6 de las Condiciones del servicio). Desconectar un buzón elimina los mensajes y archivos adjuntos conservados para él. Una vez eliminados, los datos salen de las copias de seguridad de la base de datos en un plazo máximo de 35 días, y de las copias anteriores conservadas en el almacenamiento de objetos a más tardar 60 días después de escribirse. Al terminar el contrato no se elimina nada en el servicio de correo del Cliente: los correos y los contactos siguen allí.

En caso de tratamiento por parte de (sub)encargados, especifíquese también el objeto, la naturaleza y la duración del tratamiento

Véase el anexo IV. Cada subencargado trata los datos mientras el encargado le encomiende ese tratamiento, salvo lo que el anexo IV indica que conserva más tiempo.

7. Anexo III: medidas técnicas y organizativas

Estas son las medidas vigentes a 24 de octubre de 2026. La página de seguridad las detalla, con sus límites y sus fechas.

Cifrado de los datos personales

• Microsoft Azure cifra la base de datos y el almacenamiento de archivos.
• Trupeo cifra además por sí mismo algunos datos (AES-256-GCM): desde el 10 de julio de 2026, el texto de los mensajes y los archivos adjuntos, con una clave por buzón, y los datos de acceso a los buzones, con una clave del servicio. Los secretos de los que se obtienen esas claves se guardan en Azure Key Vault, aparte del almacenamiento: copiar un archivo fuera del almacenamiento no basta para leerlo.
• El asunto de un mensaje, sus direcciones, su vista previa y lo que el equipo escribe en Trupeo solo los cifra Azure.

Protección de los datos durante su transmisión

• El sitio y la aplicación solo se sirven por HTTPS. Las conexiones de Trupeo con Google y Microsoft están cifradas.
• Sus conexiones con un servidor IMAP o SMTP se cifran cuando ese servidor lo ofrece. Trupeo no rechaza un servidor que no lo ofrece: el Cliente elige su servidor.

Identificación y autorización de los usuarios

• Cada miembro inicia sesión con su propia cuenta, con contraseña o con su cuenta de Google o Microsoft. Una cuenta con contraseña puede activar la verificación en dos pasos: un código de una aplicación de autenticación, con diez códigos de recuperación.
• Un buzón solo se comparte con las personas que su propietario invita. El propietario puede limitar a un miembro a las conversaciones clasificadas en ciertos ámbitos. Un miembro retirado de un buzón pierde el acceso a él de inmediato.
• Cada cuenta muestra sus sesiones abiertas, para que su usuario reconozca sus dispositivos.

Acceso del personal de ALK Innovations

• Nadie en ALK Innovations lee los correos, fuera de los casos previstos en el anexo II.
• Cada vez que un miembro del equipo de Trupeo abre una cuenta, queda registrado, con la fecha, y se muestra al usuario de esa cuenta en sus ajustes. Si ese registro no puede escribirse, la apertura queda igualmente anotada en los registros del servicio.
• En Gmail, Trupeo nunca obtuvo el permiso para eliminar un correo de forma definitiva.

Seguridad física de los lugares donde se tratan los datos

• Trupeo funciona en Microsoft Azure: la base de datos, los servidores de la aplicación y los cuerpos de mensaje y archivos adjuntos conservados están en Francia (región Azure France Central). La seguridad física de los centros de datos corresponde a Microsoft.

Disponibilidad y restauración

• La base de datos se copia cada día, y las copias de seguridad se conservan hasta 35 días.
• La restauración se ha ensayado: el 3 de septiembre de 2026, una base restaurada se volvió a leer y se descifró con la clave real.

Pruebas y evaluaciones periódicas

• Un laboratorio independiente, TAC Security, autorizado por la App Defense Alliance, evaluó Trupeo en el marco del programa CASA de Google: conforme al nivel AL1 desde el 11 de septiembre de 2026, en 20 grupos de controles. La evaluación se renueva cada año.
• Cualquiera puede comunicar un fallo de seguridad a través de la página de notificación, según una política publicada.

Registro de eventos

• Cada conversación conserva el historial de lo que se hizo en ella, quién y cuándo.
• Se registra cada apertura de una cuenta por el equipo de Trupeo, y cada solicitud de exportación de datos con su fecha y la dirección IP de la que procede.
• Se conservan registros técnicos para la seguridad y la detección de incidentes.

Minimización y conservación limitada

• Trupeo solo conserva el contenido de un mensaje recibido a partir del momento en que alguien lo abre; el servicio de correo guarda el original. Lo que el equipo escribe en Trupeo, borradores y correos enviados incluidos, se conserva en cuanto se escribe.
• Los plazos de conservación son los del anexo II. Eliminar un buzón purga también los archivos conservados para él, y un archivo de exportación se elimina siete días después de estar listo.

Portabilidad y supresión de los datos

• El propietario de un buzón puede exportar sus datos desde sus ajustes, como datos estructurados y legibles por máquina: el buzón y sus ajustes, sus miembros, cada conversación y cada mensaje con remitentes, destinatarios, asunto y fechas, las notas para el equipo, la libreta de direcciones, el historial de actividad y la lista de archivos adjuntos. Marcar «Incluir el contenido de los correos y los archivos adjuntos que Trupeo conserva» añade los cuerpos de mensaje que Trupeo guarda, descifrados, los borradores y los archivos adjuntos almacenados; el cuerpo de un mensaje que nadie ha abierto en Trupeo no se incluye, y el servicio de correo guarda el original.
• El propietario de un buzón puede eliminarlo desde sus ajustes, lo que borra todo lo que se conserva para él, y cada usuario puede eliminar su propia cuenta desde los suyos.
• Una vez purgados los archivos almacenados de un buzón eliminado, cada uno de sus propietarios recibe un correo que certifica la supresión, con su fecha y la fecha en que las copias de seguridad de la base de datos y las versiones anteriores del almacenamiento de archivos que aún contienen parte de ellos habrán desaparecido. La dirección y el idioma a los que se envía solo se conservan hasta su envío.

Asistencia al responsable del tratamiento (cláusulas 8 y 9)

• Solicitudes de los interesados: el Cliente puede atender él mismo la mayoría con las herramientas de exportación y supresión anteriores. Para lo que no cubren, el Cliente puede pedir la asistencia de ALK Innovations a través del formulario de contacto (seleccionando «Solicitud RGPD»), y ALK Innovations responde en un plazo máximo de 30 días.
• Violación de la seguridad de los datos personales: ALK Innovations la notifica por correo al propietario de cada buzón afectado, con los elementos de la cláusula 9.2. El punto de contacto para obtener más información es el del anexo I.
• Evaluaciones de impacto y consultas previas: previa solicitud, ALK Innovations facilita la información de que dispone sobre el tratamiento, en particular el presente Acuerdo, la página de seguridad y el resultado de su evaluación CASA.

8. Anexo IV: lista de subencargados del tratamiento

El Cliente autoriza a los subencargados siguientes, que forman la lista acordada de la cláusula 7.7, letra a). ALK Innovations informa por correo al propietario de cada buzón con al menos 30 días de antelación antes de añadir uno a la lista o de sustituir uno.

Microsoft France SAS y Amazon Web Services EMEA SARL tratan los datos en la Unión Europea. Amazon SES conserva en una lista de supresión las direcciones cuyo correo fue rechazado definitivamente o que marcaron un correo como spam, para no volver a escribirles, y esa lista sobrevive al contrato. La transferencia a Google LLC se basa en las garantías descritas en la Política de privacidad, como prevé la cláusula 7.8.

Quién no es un subencargado

• Google, Microsoft y los demás servicios de correo del Cliente ya custodian el buzón del Cliente, en virtud del contrato propio del Cliente con ellos: Trupeo se conecta a ellos siguiendo las instrucciones del Cliente.
• Los servicios que entregan las notificaciones en el dispositivo de un miembro son los del navegador que utiliza (Google, Mozilla, Apple o Microsoft): los elige el navegador, no ALK Innovations. Reciben la dirección de la suscripción de ese dispositivo y un contenido cifrado de extremo a extremo, que no pueden leer.
• Un asistente que un usuario conecta a su cuenta actúa bajo la responsabilidad de la empresa que lo gestiona, como expone la parte 1.