Acuerdo de tratamiento de datos (DPA) (Plantilla)

Última actualización: 27 de octubre de 2026

Plantilla. Este es el Data Processing Addendum estándar de Monarchy para clientes empresariales. Solo es vinculante cuando ambas partes lo completan y firman como parte de un contrato de servicios. Los campos entre [corchetes] se completan para cada cliente. Para solicitar una copia para firmar, escribe a legal@monarchy.io. En caso de discrepancia, prevalece la versión en inglés.

Este Acuerdo de tratamiento de datos ("DPA") forma parte del contrato de servicios (el "Contrato") entre [RAZÓN SOCIAL DEL CLIENTE], [DIRECCIÓN DEL CLIENTE] ("Cliente"), y Monarchy Media LLC, 650 Cleveland Street #2291, Clearwater, Florida, Estados Unidos ("Monarchy"). Se aplica cuando Monarchy trata Datos personales por cuenta del Cliente al prestar los servicios.

1. Definiciones

"Normativa de protección de datos" significa todas las leyes aplicables al tratamiento de Datos personales en virtud del Contrato, incluidos, cuando proceda, el Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD"), el RGPD del Reino Unido y la Data Protection Act 2018, la Ley federal suiza de protección de datos, la California Consumer Privacy Act modificada ("CCPA") y otras leyes estatales de privacidad de EE. UU. "Datos personales", "Responsable", "Encargado", "Interesado", "Violación de la seguridad de los datos personales" y "tratamiento" tienen el significado del RGPD (o los términos equivalentes de otras normas, como "business", "service provider" y "personal information" en la CCPA). "Subencargado" significa un tercero contratado por Monarchy para tratar Datos personales del Cliente. "Datos personales del Cliente" significa los Datos personales que Monarchy trata por cuenta del Cliente en virtud del Contrato.

2. Funciones y ámbito

2.1 El Cliente es el Responsable (o un Encargado que actúa por cuenta de su propio Responsable) y Monarchy es el Encargado del tratamiento (y "service provider" según la CCPA) de los Datos personales del Cliente.
2.2 El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de Datos personales y las categorías de Interesados se describen en el Anexo I.
2.3 Cada parte cumplirá la Normativa de protección de datos que le sea aplicable. El Cliente es responsable de la licitud de los Datos personales que facilita y de sus instrucciones, incluida una base jurídica válida, la información y los consentimientos necesarios (por ejemplo, para llamadas, SMS o emails comerciales realizados por su cuenta).

3. Instrucciones del Cliente

3.1 Monarchy tratará los Datos personales del Cliente solo siguiendo instrucciones documentadas del Cliente, incluidas las del Contrato, este DPA y el uso de los servicios por el Cliente, salvo que la ley exija otra cosa (en cuyo caso Monarchy informará al Cliente antes del tratamiento, salvo que la ley lo prohíba).
3.2 Monarchy informará con prontitud al Cliente si, en su opinión, una instrucción infringe la Normativa de protección de datos.
3.3 CCPA. Monarchy no: venderá ni compartirá los Datos personales del Cliente; los conservará, usará o divulgará para fines distintos de los fines empresariales especificados en el Contrato; los conservará, usará o divulgará fuera de la relación directa con el Cliente; ni los combinará con información personal recibida de otras fuentes, salvo lo permitido por la CCPA. Monarchy avisará al Cliente si ya no puede cumplir sus obligaciones de la CCPA y certifica que comprende y cumplirá estas restricciones.

4. Confidencialidad

Monarchy garantizará que las personas autorizadas para tratar los Datos personales del Cliente estén sujetas a obligaciones de confidencialidad y reciban la formación adecuada.

5. Seguridad

Monarchy aplicará medidas técnicas y organizativas apropiadas para proteger los Datos personales del Cliente, descritas en el Anexo II, teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento y los riesgos para los Interesados.

6. Inteligencia artificial

6.1 Monarchy puede usar sistemas de IA (incluidos asistentes de IA y proveedores de modelos de IA indicados en el Anexo III) para prestar los servicios, y responde de ellos como de cualquier Subencargado.
6.2 Cuando pueda controlarse por contrato o mediante la configuración del servicio, Monarchy no permitirá que los proveedores de modelos de IA usen los Datos personales del Cliente para entrenar o mejorar sus modelos generales, salvo acuerdo escrito del Cliente.
6.3 Si los servicios incluyen comunicaciones automáticas o generadas con IA dirigidas a Interesados por cuenta del Cliente, las partes acordarán en el Contrato o en una orden de trabajo cómo se informa de ello y cómo pueden los destinatarios contactar con una persona y darse de baja.

7. Subencargados

7.1 El Cliente otorga a Monarchy una autorización general para contratar Subencargados. Los que se usan en el momento de la firma figuran en el Anexo III.
7.2 Monarchy notificará al Cliente cualquier incorporación o sustitución prevista de Subencargados con al menos [PLAZO DE PREAVISO] días de antelación. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo; las partes lo tratarán de buena fe y, si no hay solución, el Cliente podrá resolver los servicios afectados.
7.3 Monarchy impondrá a cada Subencargado obligaciones de protección de datos no menos protectoras que este DPA y seguirá siendo responsable de su cumplimiento.

8. Solicitudes de los Interesados

Teniendo en cuenta la naturaleza del tratamiento, Monarchy asistirá al Cliente con medidas apropiadas para responder a las solicitudes de ejercicio de derechos de los Interesados. Si Monarchy recibe directamente una solicitud, la remitirá al Cliente sin dilación indebida y no responderá salvo instrucción del Cliente o para confirmar que se ha remitido.

9. Violaciones de la seguridad de los datos personales

Monarchy notificará al Cliente sin dilación indebida, y en todo caso en un plazo de [HORAS PARA LA NOTIFICACIÓN] horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a los Datos personales del Cliente, y facilitará la información razonablemente disponible para ayudar al Cliente a cumplir sus propias obligaciones de notificación. Monarchy adoptará medidas razonables para contenerla y remediarla.

10. Asistencia

Monarchy prestará al Cliente una asistencia razonable en las evaluaciones de impacto relativas a la protección de datos y consultas previas a las autoridades de control, en la medida exigida por la Normativa y relativa al tratamiento que realiza Monarchy.

11. Devolución y supresión

Al finalizar los servicios, o a petición escrita del Cliente, Monarchy, a elección del Cliente, devolverá o suprimirá los Datos personales del Cliente en un plazo de [PLAZO DE SUPRESIÓN] días y eliminará las copias existentes, salvo que la ley exija conservarlos (en cuyo caso seguirán protegidos por este DPA).

12. Auditorías

Monarchy pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA. El Cliente podrá, a su cargo y no más de una vez cada 12 meses (salvo requerimiento de una autoridad de control o tras una violación de la seguridad de los datos), auditar el cumplimiento de Monarchy con al menos [PREAVISO DE AUDITORÍA] días de preaviso por escrito, en horario laboral, con sujeción a confidencialidad y sin acceso a datos de otros clientes. Monarchy podrá atender primero las solicitudes de auditoría facilitando documentación pertinente y certificaciones o informes de terceros, cuando existan.

13. Transferencias internacionales

13.1 El Cliente reconoce que Monarchy está ubicada en Estados Unidos y que los Datos personales del Cliente pueden tratarse en Estados Unidos y en otros países donde operan los Subencargados de Monarchy.
13.2 Cuando se transfieran Datos personales del Cliente sujetos al RGPD, al RGPD del Reino Unido o a la ley suiza a un país sin decisión de adecuación, las partes acuerdan aplicar las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado) según proceda, incorporadas por referencia, con: la Cláusula 7 (cláusula de incorporación) incluida; la Cláusula 9, opción 2 (autorización general), con el preaviso de la sección 7.2; el texto opcional de la Cláusula 11 excluido; las Cláusulas 17 y 18 regidas por la ley y los tribunales de [ESTADO MIEMBRO DE LA UE]; y los anexos completados con los Anexos I a III de este DPA. Para transferencias desde el Reino Unido se aplica el UK International Data Transfer Addendum; para transferencias desde Suiza, las adaptaciones necesarias (FDPIC como autoridad competente, referencias a la ley suiza). Si el destinatario está certificado en el Marco de Privacidad de Datos UE-EE. UU. (o sus extensiones para Reino Unido y Suiza), podrá aplicarse dicho marco.

14. Información de salud

Este DPA no autoriza por sí solo a Monarchy a recibir información de salud protegida conforme a la HIPAA. Si los servicios incluyen dicha información, las partes firmarán un Business Associate Agreement independiente, que prevalecerá respecto de dicha información.

15. Responsabilidad, duración y prelación

15.1 La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones y exclusiones del Contrato, en la medida permitida por la Normativa.
15.2 Este DPA estará vigente mientras Monarchy trate Datos personales del Cliente.
15.3 En caso de conflicto se aplica este orden: las Cláusulas Contractuales Tipo (cuando proceda), este DPA y el Contrato.
15.4 Salvo que la Normativa o las Cláusulas Contractuales Tipo exijan otra cosa, este DPA se rige por las leyes del Estado de Florida y son competentes los tribunales situados en el Estado de Florida.

Anexo I: Descripción del tratamiento

Responsable / exportador: [RAZÓN SOCIAL DEL CLIENTE], contacto [CONTACTO DE PRIVACIDAD DEL CLIENTE].
Encargado / importador: Monarchy Media LLC, 650 Cleveland Street #2291, Clearwater, Florida, Estados Unidos; contacto legal@monarchy.io.
Servicios: [DESCRIPCIÓN DE LOS SERVICIOS, p. ej. call center / concertación de citas, publicidad y generación de leads, tecnología y configuración de escritorios de IA, producción creativa, eventos].
Categorías de Interesados: [p. ej. clientes y potenciales clientes del Cliente, leads, asistentes a eventos, personal del Cliente].
Categorías de Datos personales: [p. ej. nombre, email, teléfono, datos de citas, contenido y grabaciones de comunicaciones, datos de campaña y seguimiento].
Datos sensibles: [Ninguno / descripción y garantías adicionales].
Naturaleza y finalidad del tratamiento: prestación de los servicios del Contrato, incluida la recogida, conservación, organización, comunicaciones con los Interesados por cuenta del Cliente (que pueden ser automáticas o asistidas por IA), análisis e informes.
Frecuencia: continua durante los servicios.
Duración y conservación: vigencia del Contrato más el plazo de devolución/supresión de la sección 11.

Anexo II: Medidas técnicas y organizativas

Cifrado en tránsito (TLS) de los datos intercambiados con los sistemas de Monarchy; cifrado en reposo según lo ofrecido por nuestros proveedores de alojamiento y SaaS.
Acceso basado en roles y mínimo privilegio; cuentas individuales; autenticación multifactor cuando esté disponible; retirada inmediata de accesos que ya no se necesiten.
Claves de API con alcance limitado y secretos guardados en almacenes gestionados, nunca en el código; rotación de claves ante sospecha de exposición.
Proveedores de confianza con certificaciones de seguridad reconocidas, seleccionados y evaluados en materia de protección de datos.
Registro de accesos administrativos cuando esté disponible; supervisión de abusos y anomalías.
Minimización: solo los Datos personales necesarios para los servicios; datos de prueba en lugar de datos reales cuando sea posible.
Compromisos de confidencialidad y formación en protección de datos para personal y colaboradores.
Procedimiento de respuesta a incidentes con notificación al Cliente según la sección 9.
Copias de seguridad y recuperación según lo ofrecido por nuestros proveedores.
Controles sobre el uso de IA: sin entrenamiento de modelos generales con Datos personales del Cliente cuando sea controlable; supervisión humana de los sistemas de IA; información sobre el uso de IA en las comunicaciones según lo acordado.

Anexo III: Subencargados (en el momento de la firma)

Subencargado	Finalidad	Ubicación
HighLevel, Inc. (LeadConnector)	Plataforma de CRM, email, telefonía y mensajería	Estados Unidos
Cloudflare, Inc.	Alojamiento, distribución de contenidos, seguridad, funciones serverless y almacenamiento	Red global; Estados Unidos
Google LLC (Google Workspace)	Email, documentos y colaboración	Estados Unidos y global
[PROVEEDOR(ES) DE MODELOS DE IA]	Redacción asistida por IA, asistentes de IA	[UBICACIÓN]
[OTROS SUBENCARGADOS PARA LOS SERVICIOS ESPECÍFICOS]	[FINALIDAD]	[UBICACIÓN]

Firmas
Cliente: [NOMBRE, CARGO, FECHA]
Monarchy Media LLC: [NOMBRE, CARGO, FECHA]