Protección de datos en la UE: compromisos bajo el GDPR.
Suplementa el DPA con compromisos específicos de GDPR. Matriz de base legal, mapeo de derechos del sujeto de datos, Cláusulas Contractuales Estándar, autoridad supervisora y enfoque DPIA. Aplica automáticamente cuando GDPR se compromete.
Hechos clave del adendum GDPR
Alcance de este adendum
Este adendum aplica cuando Crawlux procesa datos personales sujetos a GDPR o UK GDPR. Donde este adendum y la política de privacidad base o el DPA entren en conflicto en asuntos GDPR, este adendum prevalece para el procesamiento regulado por GDPR.
Por qué existe este adendum
El DPA cubre las obligaciones del procesador en general. Este adendum deletrea los compromisos específicos de GDPR que suplementan esas obligaciones: matriz de base legal, los siete derechos del sujeto de datos, SCCs incorporadas por referencia, autoridad supervisora y proceso DPIA.
Matriz de base legal
Base legal para cada actividad de procesamiento del lado de Crawlux. El procesamiento del lado del cliente (el contenido del dominio auditado) es responsabilidad del cliente como controlador. La matriz abajo cubre lo que Crawlux procesa por iniciativa propia.
| Actividad de tratamiento | Lawful basis | Type |
|---|---|---|
| Prestación del servicio (ejecución de auditorías) | Contract Art. 6(1)(b) | Obligatorio |
| Gestión de cuenta y facturación | Contract Art. 6(1)(b) | Obligatorio |
| Mejora de la metodología (datos agregados) | Interés legítimo Art. 6(1)(f) | Obligatorio |
| Seguridad y prevención de fraude | Interés legítimo Art. 6(1)(f) | Obligatorio |
| Obligación legal (impuestos, contabilidad) | Legal obligation Art. 6(1)(c) | Obligatorio |
| Notificaciones de estado del servicio | Interés legítimo Art. 6(1)(f) | Obligatorio |
| Marketing emails (newsletter, product) | Consentimiento Art. 6(1)(a) | Opcional |
| Analytics cookies | Consentimiento Art. 6(1)(a) | Opcional |
Base legal del lado del cliente
Cuando el cliente envía contenido auditado que contiene datos personales, el cliente determina y documenta la base legal para ese procesamiento. Bases comunes para contexto de auditoría SEO: interés legítimo en medir el performance del sitio web y consentimiento para elementos relacionados con tracking.
Matriz de derechos del sujeto de datos
Los siete derechos del sujeto de datos de GDPR y cómo mapean al procesamiento de Crawlux. Los titulares de cuenta ejercen estos derechos vía [email protected]. Los sujetos de datos del contenido de cliente van a través del cliente (controlador) directamente.
| Derecho | Article | Crawlux response |
|---|---|---|
| Derecho de acceso | Art. 15 | Account data exported via dashboard or API. 30-day response for complex requests. |
| Derecho de rectificación | Art. 16 | Perfil de la cuenta editable directamente. Otros datos se corrigen a petición en un plazo de 30 días. |
| Derecho de supresión | Art. 17 | Eliminación de la cuenta desde el dashboard. Los datos se eliminan de producción en un plazo de 14 días y de las copias de seguridad en 90 días. |
| Derecho a la limitación del tratamiento | Art. 18 | Pausa del tratamiento solicitada vía [email protected]. Se aplica en un plazo de 5 días hábiles. |
| Derecho a la portabilidad de los datos | Art. 20 | Account and audit data exported in JSON via API. PDF reports also available. Self-service. |
| Derecho de oposición | Art. 21 | Oposición al marketing mediante baja con un clic. Otras oposiciones al tratamiento vía [email protected]. |
| Derecho frente a decisiones automatizadas | Art. 22 | Las auditorías de Crawlux no producen decisiones con efectos jurídicos. El resultado es informativo. Fuera de alcance. |
Transferencias internacionales
Los datos personales pueden fluir a subprocesadores fuera del EEA y UK. Las Cláusulas Contractuales Estándar adoptadas por la Decisión de la Comisión UE 2021/914 rigen estas transferencias. El adendum UK aplica para transferencias desde UK.
Destinos adecuados
Algunos destinos de subprocesador tienen decisiones de adecuación en su lugar bajo el Capítulo V de GDPR. Para estos, las SCCs no son estrictamente requeridas pero se aplican de todas formas como protección contractual belt-and-suspenders. La adecuación actual aplica a: UK (bajo decisión de adecuación de la UE), Suiza, Israel y Japón entre otros.
DPIAs y registros de procesamiento
GDPR requiere evaluaciones de impacto de protección de datos para procesamiento de alto riesgo y registros de actividades de procesamiento para organizaciones que cumplan los umbrales del Artículo 30. Crawlux mantiene ambos.
Los clientes pueden solicitar un resumen del DPIA de procesamiento estándar para inclusión en su propio workflow de DPIA. El resumen se provee bajo NDA vía [email protected]. La documentación completa del DPIA es interna debido a contenido sensible de seguridad.
Autoridad supervisora, DPO y representante UE
Identificando los reguladores, el contacto DPO y si se requiere un representante UE del Artículo 27.
Contactos de la autoridad supervisora
UK ICO (lead): ico.org.uk · 0303 123 1113
Irish DPC: dataprotection.ie · para interesados residentes en Irlanda
Autoridades locales del EEE: Consulta edpb.europa.eu para ver la lista completa
Crawlux privacy: [email protected]
ePrivacidad y comunicaciones electrónicas
La Directiva ePrivacidad y las UK Privacidad and Electronic Communications Regulations aplican junto con GDPR para cookies y comunicaciones de marketing directo. El compliance de Crawlux está documentado en políticas dedicadas.
Preguntas comunes de GDPR
Seis preguntas cubriendo el alcance del adendum, base legal, ejercer derechos, representación UE, autoridad supervisora y DPIAs.
¿Cuándo aplica el GDPR a mi uso de Crawlux?
GDPR aplica cuando Crawlux procesa datos personales de individuos ubicados en el EEA o UK. Este es el caso para casi todos los clientes de Crawlux porque los dominios auditados a menudo contienen referencias a residentes del EEA (autores, contactos, miembros del equipo). El adendum aplica automáticamente; no se necesita opt-in separado.
¿Cuál es la base legal de Crawlux para el tratamiento?
Crawlux como el procesador se apoya en la base legal del cliente. El cliente (controlador) determina y documenta la base legal. Para el propio procesamiento de Crawlux de los datos de cuenta del cliente, la base legal es el cumplimiento del contrato para la entrega del servicio e interés legítimo para la mejora del servicio. El marketing requiere consentimiento.
¿Cómo ejerzo mis derechos como interesado?
Si eres un sujeto de datos de data de cliente, contacta al cliente (controlador) directamente. Si eres un titular de cuenta Crawlux solicitando tus propios datos, envía email a [email protected]. Responderemos en 30 días por el Artículo 12 de GDPR. Los derechos disponibles incluyen acceso, rectificación, eliminación, restricción, portabilidad y oposición.
¿Tienen un representante en la UE?
Crawlux opera desde Londres, una jurisdicción equivalente a EEA bajo UK GDPR con adecuación en su lugar. La oficina de Londres maneja asuntos relacionados con EEA, lo que significa que un representante UE del Artículo 27 no es actualmente requerido. Si esto cambia, se nombrará un representante UE y se divulgará en este adendum.
¿Cuál es su autoridad de control?
La autoridad supervisora líder para Crawlux es la UK Information Commissioner's Office (ICO) dada la oficina primaria de Londres. Los sujetos de datos basados en EEA también pueden contactar a su autoridad supervisora local para asuntos relacionados con sus datos personales. Los detalles de contacto para ambos están en la sección 6 de este adendum.
¿Realizan evaluaciones de impacto (DPIA)?
Sí, donde los umbrales del Artículo 35 se cumplen. El procesamiento estándar de auditoría Crawlux ha sido evaluado como no-de-alto-riesgo bajo los criterios DPIA. Las nuevas features que introducen toma de decisiones automatizada o procesamiento a gran escala de categoría especial disparan DPIAs frescos. Los clientes pueden solicitar el resumen DPIA para su propio workflow DPIA bajo NDA.
Contacto GDPR
Las solicitudes de sujetos de datos, preguntas específicas de GDPR, aclaraciones de base legal y cualquier otro asunto GDPR van al equipo de privacidad.
Contacto de privacidad GDPR
Email: [email protected]
Asunto: "GDPR" plus topic
Plazo de respuesta: 30 días según el Artículo 12
Autoridad de control principal: UK ICO (ico.org.uk)
Para asuntos contractuales del DPA, consulta el Acuerdo de Procesamiento de Datos. Para preguntas específicas de privacidad, consulta la política de privacidad. Para preguntas de seguridad, consulta la política de seguridad.
Lee el DPA completo a continuación
El DPA cubre las obligaciones más amplias del procesador: subprocesadores, medidas de seguridad, notificación de brechas, derechos de auditoría y procedimientos de terminación.
Adendum GDPR v1.0 · Vigente desde el 13 de abr de 2026 · Autoridad principal: UK ICO · Respuesta a DSAR en 30 días