Acuerdo de encargo de tratamiento

Servicio discontinuado. La auditoría de Klaviyo dejó de contratarse el 15 de octubre de 2026. Este acuerdo se mantiene publicado, sin cambios, para los clientes que la contrataron.

Versión: 2026-09-12. Este acuerdo de encargo de tratamiento (el «DPA») forma parte de las condiciones de contratación cuando el cliente facilita a Retention Foundry acceso a una cuenta de Klaviyo que contiene datos personales.

1. Partes y roles

El Cliente es la persona o entidad que contrata la auditoría y determina los fines y medios del tratamiento de los datos de su cuenta de Klaviyo, o actúa con autorización suficiente de quien los determina. A estos efectos actúa como responsable del tratamiento —o, cuando corresponda, como encargado con facultad para subcontratar—.

Encargado:

• Titular: Antonio Palomero García
• NIF: 45189551 W
• Domicilio: Carrer d'Eusebi Estada 21 A 7 B, 07004 Palma, Illes Balears, Spain
• Correo electrónico: hello@retentionfoundry.com
• Sitio web: https://retentionfoundry.com

El Cliente declara que tiene autoridad para dar las instrucciones descritas en este DPA y que el acceso a Klaviyo que facilita es lícito. Retention Foundry no adquiere ningún derecho para utilizar los datos del Cliente para fines propios.

2. Objeto, duración, naturaleza y finalidad

• Objeto: acceder en modo de solo lectura a la cuenta de Klaviyo del Cliente para realizar la auditoría contratada y preparar el informe correspondiente.
• Duración: desde que el Cliente facilita el acceso hasta que terminan las operaciones necesarias para prestar y mantener disponible el servicio contratado. La credencial de Klaviyo se elimina al entregar la auditoría. Los datos que formen parte del informe o espacio de cliente se mantienen únicamente mientras sean necesarios para esa prestación o hasta que el Cliente ordene su supresión, salvo obligación legal de conservación.
• Naturaleza: consulta, acceso, análisis, estructuración y conservación limitada de información derivada necesaria para producir y entregar el informe; no se realizan cambios ni envíos desde la cuenta de Klaviyo.
• Finalidad: exclusivamente prestar la auditoría y las operaciones de soporte directamente relacionadas con ella.

3. Interesados y tipos de datos personales

El tratamiento puede afectar, según la configuración de la cuenta, a:

• clientes, potenciales clientes y suscriptores del Cliente;
• empleados, colaboradores o usuarios identificados dentro de la configuración.

Los tipos de datos personales que pueden aparecer en la ruta de auditoría son:

• identificadores y datos de contacto que el Cliente haya introducido de forma incidental en nombres o campos de configuración, como nombres, direcciones de correo u otros identificadores textuales;
• información de pertenencia o clasificación reflejada en nombres y configuración de listas y segmentos;
• métricas de interacción, conversión y comercio electrónico en forma agregada, en la medida en que pudieran seguir constituyendo datos personales conforme a la normativa aplicable;
• identificadores técnicos de objetos de Klaviyo necesarios para relacionar flows, acciones, mensajes, listas, segmentos y métricas durante la auditoría.

La aplicación está diseñada para minimizar datos: la auditoría no consulta endpoints de perfiles ni descarga listados de eventos individuales. Consulta configuración de flows, acciones, mensajes, listas y segmentos, así como métricas e informes agregados. Por tanto, no está diseñada para exportar la base de suscriptores ni el historial individual de eventos o compras del Cliente.

No se solicitan ni se necesitan categorías especiales de datos del artículo 9 RGPD, datos relativos a condenas o infracciones, ni datos personales de menores. El Cliente no debe incluirlos en nombres, notas o campos que no sean necesarios para la auditoría. Si una necesidad legítima exigiera tratar categorías especiales, deberá documentarse previamente la instrucción y las salvaguardas aplicables; el servicio estándar no las contempla.

4. Instrucciones documentadas

El Encargado tratará los datos únicamente conforme a este DPA, las condiciones de contratación, la configuración que el Cliente facilite y las instrucciones documentadas adicionales que sean compatibles con el servicio. Si una instrucción infringe, a juicio razonable del Encargado, la normativa de protección de datos, lo comunicará al Cliente antes de ejecutarla, salvo prohibición legal.

5. Confidencialidad y acceso

El acceso a los datos queda limitado a las personas que lo necesiten para prestar o revisar la auditoría y que estén sujetas a deber de confidencialidad. La clave privada de Klaviyo se cifra antes de almacenarse, se utiliza solo en servidor y no se incluye en informes, correos ni registros de aplicación.

6. Medidas técnicas y organizativas

En la versión actual del servicio se aplican, entre otras, las siguientes medidas:

• comunicaciones HTTPS/TLS;
• credencial de Klaviyo limitada a permisos de solo lectura y revocable por el Cliente;
• cifrado autenticado AES-256-GCM de la credencial en reposo;
• separación entre el secreto de cifrado y la base de datos;
• controles de autenticación y autorización para el espacio de cliente;
• revisión humana obligatoria antes de publicar una auditoría;
• eliminación de la credencial al entregar la auditoría, con incidencia reintentable si el borrado falla;
• minimización: no se exportan de forma intencionada perfiles ni eventos individuales de Klaviyo.

7. Subencargados

El Cliente concede autorización general para los subencargados enumerados a continuación, siempre que el proveedor esté sujeto a obligaciones de protección de datos compatibles con el artículo 28 RGPD y, cuando exista una transferencia internacional, a una salvaguarda válida del capítulo V. Si un subencargado incumple las obligaciones de protección de datos que se le hayan impuesto, Retention Foundry seguirá siendo plenamente responsable frente al Cliente del cumplimiento de esas obligaciones en los términos exigidos por la normativa aplicable.

• Vercel Inc. — alojamiento, CDN y ejecución de la aplicación. Estados Unidos/red global. Solo podrá procesar datos del Cliente en producción cuando la cuenta de Retention Foundry esté cubierta por el DPA de Vercel aplicable al plan contratado y por las salvaguardas internacionales correspondientes.
• Neon (Neon, LLC / grupo Databricks). — base de datos PostgreSQL. La configuración técnica actual utiliza AWS us-east-2 (Estados Unidos). Transferencia amparada, cuando resulte aplicable, por el DPA de Neon y sus mecanismos de transferencia vigentes.
• Resend (Plus Five Five, Inc.). — correo transaccional. Estados Unidos. DPA de Resend y sus mecanismos de transferencia vigentes.
• Google Workspace. — buzón de soporte y comunicaciones con el Cliente. Ubicación según la infraestructura de Google y las condiciones de Workspace aplicables.

Klaviyo es el sistema elegido y controlado por el Cliente desde el que se origina la información; no es un subencargado designado por Retention Foundry para sustituir ese sistema. Stripe trata los datos de pago y facturación del comprador, pero la ruta de auditoría no le envía los datos de los suscriptores de Klaviyo.

La versión actual de la auditoría no envía datos de la cuenta Klaviyo a OpenAI ni a otro proveedor de modelos de IA. Si en el futuro se quisiera incorporar un proveedor de IA a esa ruta, deberá actualizarse este DPA y comunicarse el nuevo subencargado antes de activar ese tratamiento.

Los cambios materiales de subencargados se comunicarán al Cliente con antelación razonable por correo electrónico. El Cliente podrá oponerse por motivos razonables de protección de datos; si no existe una alternativa proporcionada, cualquiera de las partes podrá terminar la parte del servicio afectada.

8. Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE, Retention Foundry utilizará únicamente un proveedor para el que exista un mecanismo aplicable del capítulo V RGPD, como una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando cubra al destinatario, o cláusulas contractuales tipo de la Comisión Europea. No se considerará autorizada una transferencia por el mero hecho de que el proveedor publique una política de privacidad.

9. Derechos de los interesados

El Cliente es responsable de atender las solicitudes de ejercicio de derechos. Si Retention Foundry recibe una solicitud relativa a datos tratados por cuenta del Cliente, la remitirá al Cliente y, teniendo en cuenta la naturaleza del tratamiento, prestará la asistencia razonablemente necesaria mediante medidas técnicas u organizativas adecuadas.

10. Seguridad, incidentes, evaluaciones y consultas

Retention Foundry aplicará medidas adecuadas al riesgo conforme al artículo 32 RGPD. Si tiene conocimiento de una violación de seguridad de datos personales tratados por cuenta del Cliente, se lo comunicará sin dilación indebida y facilitará la información disponible que resulte razonablemente necesaria para que el Cliente cumpla sus obligaciones. También prestará asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, respecto de los artículos 32 a 36 RGPD.

11. Supresión o devolución

Al terminar los servicios, y a elección del Cliente, Retention Foundry suprimirá o devolverá los datos personales tratados por su cuenta y suprimirá las copias existentes, salvo que una norma aplicable obligue a conservarlos. La credencial de Klaviyo tiene una regla más estricta: se elimina al entregar la auditoría aunque continúe disponible el informe.

12. Información y auditoría

Retention Foundry pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA y permitirá auditorías proporcionadas cuando la información documental disponible no sea suficiente. Se evitarán auditorías que comprometan secretos, seguridad o datos de otros clientes y podrán satisfacerse mediante informes o certificaciones de los subencargados cuando resulten adecuados.

13. Prevalencia y vigencia

Este DPA entra en vigor cuando el Cliente acepta las condiciones de contratación de la auditoría y se aplica desde el momento en que Retention Foundry trata datos por su cuenta. En caso de contradicción sobre protección de datos entre este DPA y las condiciones generales, prevalece este DPA. Las obligaciones que por su naturaleza deban continuar tras terminar el servicio seguirán vigentes.