The DPA between Crawlux and you.
Obligaciones estándar del procesador, lista completa de subprocesadores, medidas de seguridad, líneas de tiempo de notificación de brechas y derechos de auditoría. Forma parte de los términos de servicio automáticamente. Sin firma separada necesaria para tiers estándar.
Hechos clave del DPA
Definiciones
Términos usados a lo largo de este DPA. Las definiciones se alinean con el GDPR (Regulación 2016/679) y la UK Data Protection Act 2018 donde aplique. Donde este DPA entra en conflicto con los términos generales de servicio, este DPA rige.
| Term | Meaning in this DPA |
|---|---|
| Controller | The customer. Determines what personal data is submitted for audit and the purposes for processing. |
| Processor | Crawlux. Processes personal data on the customer's behalf per documented audit instructions. |
| Subprocessor | Third parties engaged by Crawlux to support audit processing (data providers, infrastructure, AI models). |
| Personal data | Information identifying or relating to an identifiable natural person, as defined by GDPR Article 4. |
| Data subject | The natural person to whom personal data relates. |
| Processing | Any operation on personal data: collection, storage, modification, retrieval, transmission or deletion. |
| Personal data breach | A security incident leading to accidental or unlawful destruction, loss, alteration or disclosure of personal data. |
| SCCs | Cláusulas Contractuales Estándar adopted by EU Commission Decision 2021/914 for third-country data transfers. |
Qué procesa Crawlux y por qué
El procesamiento de auditoría está limitado por lo que el cliente envía y por el propósito documentado de la auditoría. Crawlux no procesa datos personales fuera de este alcance sin instrucciones documentadas separadas.
La base legal es responsabilidad del cliente
El cliente (controlador) determina la base legal para procesar datos personales enviados vía dominios auditados. Crawlux procesa esa data bajo las instrucciones del cliente. Los clientes deben asegurarse de tener una base legal bajo el Artículo 6 de GDPR antes de enviar.
Lista de subprocesadores
Lista completa de subprocesadores contratados por Crawlux. Cada entrada muestra propósito, región y el mecanismo de transferencia para cualquier transferencia a terceros países. Los nuevos subprocesadores se anuncian 30 días antes del deployment vía el changelog y email a cuentas activas.
Amazon Web Servicios
Hosting de infraestructura primaria (compute, storage, networking, KMS).
Stripe
Procesamiento de pagos para compras de tier Pro y Team. Certificado PCI DSS nivel 1.
DataForSEO
Data de backlinks, data de rankings y análisis SERP usados en módulos de auditoría.
CoinGecko
Data de mercado de tokens (precio, volumen, market cap) para validación de schema de tokens.
DefiLlama
Data de TVL y métricas de protocolo para módulos de auditoría específicos de DeFi.
Anthropic
API de Claude para componentes de análisis IA (clasificación de intent, pruebas de citas).
OpenAI
API de ChatGPT para el componente de pruebas de citas de motor IA de la auditoría AEO.
Perplexity
API de Perplexity para el componente de pruebas de citas de motor IA de la auditoría AEO.
Google PageSpeed Insights
Métricas de page speed y data de Core Web Vitals para el módulo de SEO técnico.
Brevo
Entrega de newsletter, emails de confirmación double opt-in y broadcasts de email de marketing a suscriptores.
Postmark
Entrega de email transaccional (verificación de cuenta, finalización de auditoría, recibos).
Derecho a objetar cambios de subprocesadores
Los clientes tienen 30 días para objetar nuevos subprocesadores antes de que sean desplegados. Las objeciones no resueltas le dan al cliente el derecho de terminar con un reembolso prorrateado. Los cambios de subprocesadores se anuncian vía changelog y email a cuentas activas.
Medidas técnicas y organizacionales de seguridad
The processor maintains technical and organizational measures appropriate to the risk per GDPR Article 32. Full details are in the security policy. The summary below maps each Article 32 element to the implementation.
Línea de tiempo de notificación de brechas
Si Crawlux confirma una brecha de datos personales que afecta data del cliente, la notificación sigue la línea de tiempo abajo. El reloj de 72 horas empieza cuando Crawlux confirma la brecha, no cuando es detectada por primera vez. Las notificaciones iniciales pueden ser incompletas; los reportes detallados siguen.
Obligaciones del cliente bajo el Artículo 33
Como controlador, el cliente es responsable de notificar a la autoridad supervisora dentro de 72 horas de tomar conciencia de una brecha. La notificación de Crawlux dispara el reloj del cliente. Los clientes deberían tener un procedimiento documentado de respuesta a incidentes y contacto regulatorio listo.
Derechos de auditoría
Los clientes tienen el derecho a verificar el compliance de Crawlux con este DPA. Dos caminos están disponibles: la opción estándar (reportes anuales de attestation) y la opción negociada (auditorías iniciadas por el cliente para contratos Enterprise).
Fuera de alcance para auditorías
Lo siguiente no está sujeto a auditoría del cliente porque hacerlo comprometería la seguridad de otros clientes o expondría metodología propietaria:
- Other customers' data, infrastructure or audit configurations
- Proprietary methodology calibration data and weight tables
- Internal personnel records beyond what is needed to verify the audit role
- Source code outside of components specifically relevant to the DPA
- Third-party subprocessor infrastructure (audit those providers separately)
Solicitudes del sujeto de datos
El cliente es el controlador y es responsable de responder a solicitudes del sujeto de datos. Crawlux apoya al cliente en cumplir estas solicitudes como el procesador.
Devolución y eliminación tras la terminación
Tras la terminación del acuerdo con el cliente, los datos personales del cliente se eliminan de acuerdo a la línea de tiempo abajo. Se puede solicitar una certificación de eliminación por escrito.
Transferencias internacionales de datos
Algunos subprocesadores están ubicados fuera del EEA y UK. Las transferencias a esos proveedores están regidas por Cláusulas Contractuales Estándar incorporadas por referencia en este DPA.
Preguntas comunes del DPA
Seis preguntas cubriendo aceptación del DPA, roles de controlador y procesador, objeciones de subprocesadores, manejo de brechas, derechos de auditoría y manejo de datos en la terminación.
Do I need a separate DPA with Crawlux?
No. Al aceptar los términos de servicio de Crawlux, aceptas el DPA como una parte integrada del acuerdo de servicio. El DPA forma parte del contrato automáticamente. Los clientes Enterprise que requieran un DPA standalone firmado pueden solicitar uno vía [email protected].
Who is the controller and who is the processor?
El cliente es el controlador de datos y determina qué datos personales se envían para auditoría. Crawlux es el procesador de datos y procesa la data enviada bajo las instrucciones del cliente por el propósito de la auditoría. Esto aplica a todos los clientes de tiers estándar incluyendo Free, Pro, Team y Enterprise.
Can I object to a subprocessor?
Sí. Los nuevos subprocesadores se anuncian 30 días antes del deployment. Durante la ventana de 30 días, puedes objetar vía [email protected]. Si tu objeción no puede ser resuelta, tienes el derecho a terminar tu suscripción con un reembolso prorrateado. Las suscripciones activas pueden revisar la lista actual de subprocesadores en cualquier momento.
How do you handle data breach notifications?
Las brechas confirmadas que afectan datos personales del cliente disparan la notificación dentro de 72 horas de la confirmación. La notificación inicial cubre lo que sabemos, lo que estamos haciendo y lo que los clientes deberían hacer. Un reporte detallado sigue dentro de 14 días. La notificación va al email de contacto en la cuenta más cualquier dirección especificada por el DPA.
Can I audit Crawlux as a processor?
Sí. La opción estándar es el reporte anual de attestation SOC 2 Type II (objetivo de finalización Q4 2026, attestation de AWS disponible ahora). Los contratos Enterprise pueden negociar auditorías iniciadas por el cliente. Las auditorías iniciadas por el cliente requieren un NDA, ocurren al costo del cliente y se programan con 30 días de aviso. No permitimos auditorías no anunciadas.
What happens to my data if I terminate?
Tras la terminación, tienes 90 días para exportar tu data vía la API o dashboard. Después de 90 días, todos los datos personales del cliente son permanentemente eliminados de los sistemas de producción dentro de 14 días adicionales. Las copias de backup se eliminan dentro de 90 días de la eliminación de producción. Se puede solicitar una certificación de eliminación vía [email protected].
Contacto para asuntos del DPA
Los DPAs standalone firmados, objeciones de subprocesadores, solicitudes de auditoría, notificaciones de brechas y cualquier pregunta específica del DPA van al equipo legal.
Contacto legal del DPA
Email: [email protected]
Subject line: "DPA" plus topic
Standalone signed DPA: Available for Enterprise tier
Response window: 10 business days
For privacy-specific matters, see the privacy policy. For security details, see the security policy. For service terms, see the terms of service.
Lee el adendum GDPR a continuación
El adendum GDPR cubre los compromisos específicos de GDPR que suplementan este DPA. Matriz de base legal, derechos del sujeto de datos, autoridad supervisora y alineación ePrivacidad.
DPA v1.0 · Effective April 13, 2026 · 10 disclosed subprocessors · 72h breach SLA