El DPA entre Crawlux y tú.
Obligaciones estándar del procesador, lista completa de subprocesadores, medidas de seguridad, líneas de tiempo de notificación de brechas y derechos de auditoría. Forma parte de los términos de servicio automáticamente. Sin firma separada necesaria para tiers estándar.
Hechos clave del DPA
Definiciones
Términos usados a lo largo de este DPA. Las definiciones se alinean con el GDPR (Regulación 2016/679) y la UK Data Protection Act 2018 donde aplique. Donde este DPA entra en conflicto con los términos generales de servicio, este DPA rige.
| Término | Significado en este DPA |
|---|---|
| Responsable del tratamiento | El cliente. Determina qué datos personales se envían para auditoría y los fines del tratamiento. |
| Encargado del tratamiento | Crawlux. Trata datos personales en nombre del cliente según las instrucciones de auditoría documentadas. |
| Subencargado | Terceros contratados por Crawlux para apoyar el procesamiento de auditorías (proveedores de datos, infraestructura, modelos de IA). |
| Personal data | Información que identifica o se refiere a una persona física identificable, según la definición del artículo 4 del GDPR. |
| Data subject | La persona física a la que se refieren los datos personales. |
| Tratamiento | Cualquier operación sobre datos personales: recopilación, almacenamiento, modificación, consulta, transmisión o eliminación. |
| Violación de datos personales | A security incident leading to accidental or unlawful destruction, loss, alteration or disclosure of personal data. |
| SCCs | Cláusulas Contractuales Estándar adopted by EU Commission Decision 2021/914 for third-country data transfers. |
Qué procesa Crawlux y por qué
El procesamiento de auditoría está limitado por lo que el cliente envía y por el propósito documentado de la auditoría. Crawlux no procesa datos personales fuera de este alcance sin instrucciones documentadas separadas.
La base legal es responsabilidad del cliente
El cliente (controlador) determina la base legal para procesar datos personales enviados vía dominios auditados. Crawlux procesa esa data bajo las instrucciones del cliente. Los clientes deben asegurarse de tener una base legal bajo el Artículo 6 de GDPR antes de enviar.
Lista de subprocesadores
Lista completa de subprocesadores contratados por Crawlux. Cada entrada muestra propósito, región y el mecanismo de transferencia para cualquier transferencia a terceros países. Los nuevos subprocesadores se anuncian 30 días antes del deployment vía el changelog y email a cuentas activas.
Amazon Web Servicios
Hosting de infraestructura principal (compute, almacenamiento, redes, KMS).
Stripe
Procesamiento de pagos para compras de tier Pro y Team. Certificado PCI DSS nivel 1.
DataForSEO
Data de backlinks, data de rankings y análisis SERP usados en módulos de auditoría.
CoinGecko
Data de mercado de tokens (precio, volumen, market cap) para validación de schema de tokens.
DefiLlama
Data de TVL y métricas de protocolo para módulos de auditoría específicos de DeFi.
Anthropic
API de Claude para componentes de análisis IA (clasificación de intent, pruebas de citas).
OpenAI
API de ChatGPT para el componente de pruebas de citas de motor IA de la auditoría AEO.
Perplexity
API de Perplexity para el componente de pruebas de citas de motor IA de la auditoría AEO.
Google PageSpeed Insights
Métricas de page speed y data de Core Web Vitals para el módulo de SEO técnico.
Brevo
Entrega de newsletter, emails de confirmación double opt-in y broadcasts de email de marketing a suscriptores.
Postmark
Entrega de email transaccional (verificación de cuenta, finalización de auditoría, recibos).
Derecho a objetar cambios de subprocesadores
Los clientes tienen 30 días para objetar nuevos subprocesadores antes de que sean desplegados. Las objeciones no resueltas le dan al cliente el derecho de terminar con un reembolso prorrateado. Los cambios de subprocesadores se anuncian vía changelog y email a cuentas activas.
Medidas técnicas y organizacionales de seguridad
El encargado mantiene medidas técnicas y organizativas adecuadas al riesgo conforme al Artículo 32 del GDPR. Los detalles completos están en la política de seguridad. El resumen siguiente vincula cada elemento del Artículo 32 con su implementación.
Línea de tiempo de notificación de brechas
Si Crawlux confirma una brecha de datos personales que afecta data del cliente, la notificación sigue la línea de tiempo abajo. El reloj de 72 horas empieza cuando Crawlux confirma la brecha, no cuando es detectada por primera vez. Las notificaciones iniciales pueden ser incompletas; los reportes detallados siguen.
Obligaciones del cliente bajo el Artículo 33
Como controlador, el cliente es responsable de notificar a la autoridad supervisora dentro de 72 horas de tomar conciencia de una brecha. La notificación de Crawlux dispara el reloj del cliente. Los clientes deberían tener un procedimiento documentado de respuesta a incidentes y contacto regulatorio listo.
Derechos de auditoría
Los clientes tienen el derecho a verificar el compliance de Crawlux con este DPA. Dos caminos están disponibles: la opción estándar (reportes anuales de attestation) y la opción negociada (auditorías iniciadas por el cliente para contratos Enterprise).
Fuera de alcance para auditorías
Lo siguiente no está sujeto a auditoría del cliente porque hacerlo comprometería la seguridad de otros clientes o expondría metodología propietaria:
- Datos, infraestructura o configuraciones de auditoría de otros clientes
- Datos de calibración y tablas de ponderación de la metodología propietaria
- Registros internos de personal más allá de lo necesario para verificar el rol de auditoría
- Código fuente fuera de los componentes específicamente relevantes para el DPA
- Infraestructura de subprocesadores externos (audita a esos proveedores por separado)
Solicitudes del sujeto de datos
El cliente es el controlador y es responsable de responder a solicitudes del sujeto de datos. Crawlux apoya al cliente en cumplir estas solicitudes como el procesador.
Devolución y eliminación tras la terminación
Tras la terminación del acuerdo con el cliente, los datos personales del cliente se eliminan de acuerdo a la línea de tiempo abajo. Se puede solicitar una certificación de eliminación por escrito.
Transferencias internacionales de datos
Algunos subprocesadores están ubicados fuera del EEA y UK. Las transferencias a esos proveedores están regidas por Cláusulas Contractuales Estándar incorporadas por referencia en este DPA.
Preguntas comunes del DPA
Seis preguntas cubriendo aceptación del DPA, roles de controlador y procesador, objeciones de subprocesadores, manejo de brechas, derechos de auditoría y manejo de datos en la terminación.
¿Necesito un DPA aparte con Crawlux?
No. Al aceptar los términos de servicio de Crawlux, aceptas el DPA como una parte integrada del acuerdo de servicio. El DPA forma parte del contrato automáticamente. Los clientes Enterprise que requieran un DPA standalone firmado pueden solicitar uno vía [email protected].
¿Quién es el responsable y quién es el encargado del tratamiento?
El cliente es el controlador de datos y determina qué datos personales se envían para auditoría. Crawlux es el procesador de datos y procesa la data enviada bajo las instrucciones del cliente por el propósito de la auditoría. Esto aplica a todos los clientes de tiers estándar incluyendo Free, Pro, Team y Enterprise.
¿Puedo oponerme a un subprocesador?
Sí. Los nuevos subprocesadores se anuncian 30 días antes del deployment. Durante la ventana de 30 días, puedes objetar vía [email protected]. Si tu objeción no puede ser resuelta, tienes el derecho a terminar tu suscripción con un reembolso prorrateado. Las suscripciones activas pueden revisar la lista actual de subprocesadores en cualquier momento.
¿Cómo manejan las notificaciones de violaciones de datos?
Las brechas confirmadas que afectan datos personales del cliente disparan la notificación dentro de 72 horas de la confirmación. La notificación inicial cubre lo que sabemos, lo que estamos haciendo y lo que los clientes deberían hacer. Un reporte detallado sigue dentro de 14 días. La notificación va al email de contacto en la cuenta más cualquier dirección especificada por el DPA.
¿Puedo auditar a Crawlux como encargado del tratamiento?
Sí. La opción estándar es el reporte anual de attestation SOC 2 Type II (objetivo de finalización Q4 2026, attestation de AWS disponible ahora). Los contratos Enterprise pueden negociar auditorías iniciadas por el cliente. Las auditorías iniciadas por el cliente requieren un NDA, ocurren al costo del cliente y se programan con 30 días de aviso. No permitimos auditorías no anunciadas.
¿Qué pasa con mis datos si cancelo?
Tras la terminación, tienes 90 días para exportar tu data vía la API o dashboard. Después de 90 días, todos los datos personales del cliente son permanentemente eliminados de los sistemas de producción dentro de 14 días adicionales. Las copias de backup se eliminan dentro de 90 días de la eliminación de producción. Se puede solicitar una certificación de eliminación vía [email protected].
Contacto para asuntos del DPA
Los DPAs standalone firmados, objeciones de subprocesadores, solicitudes de auditoría, notificaciones de brechas y cualquier pregunta específica del DPA van al equipo legal.
Contacto legal del DPA
Email: [email protected]
Asunto: "DPA" plus topic
DPA firmado independiente: Disponible en el plan Enterprise
Plazo de respuesta: 10 días hábiles
Para asuntos específicos de privacidad, consulta la política de privacidad. Para detalles de seguridad, consulta la política de seguridad. Para los términos del servicio, consulta los términos del servicio.
Lee el adendum GDPR a continuación
El adendum GDPR cubre los compromisos específicos de GDPR que suplementan este DPA. Matriz de base legal, derechos del sujeto de datos, autoridad supervisora y alineación ePrivacidad.
DPA v1.0 · Vigente desde el 13 de abr de 2026 · 10 subprocesadores divulgados · SLA de brechas de 72 h