Anexo I. Encargo del tratamiento de datos personales

Este Anexo forma parte inseparable del contrato de suscripción a Creativ Flow suscrito entre las partes y regula el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente.

En caso de contradicción entre el contrato y este Anexo en materia de protección de datos, prevalece este Anexo.

1. Partes y roles

Responsable del tratamiento: el Cliente identificado en el encabezado del contrato. Determina las finalidades y los medios del tratamiento.

Encargado del tratamiento: MARKETERWEB LLC, Business ID 7188641, con domicilio en 4300 Ridgecrest Dr SE, Suite L, PMB 1283, Rio Rancho, NM 87124, Estados Unidos, y correo de contacto info@marketerweb.us, que opera la plataforma bajo la marca Creativ Flow.

El Encargado trata los datos personales por cuenta del Responsable, únicamente para prestar los servicios contratados y siguiendo sus instrucciones documentadas.

2. Objeto, naturaleza y finalidad

El Encargado trata los datos personales de los contactos del Responsable con la finalidad exclusiva de prestar los servicios de la plataforma Creativ Flow: recepción y centralización de comunicaciones, gestión del embudo comercial, agenda y recordatorios de citas, envío de comunicaciones autorizadas por el Responsable, solicitud de reseñas y elaboración de informes de actividad.

Las operaciones de tratamiento incluyen la recogida, el registro, la conservación, la consulta, la utilización, la comunicación a los subencargados autorizados, la limitación y la supresión.

El detalle de las categorías de datos y de interesados figura en el Apéndice A.

3. Duración

El encargo tiene la misma duración que el contrato de suscripción y se extingue con él, sin perjuicio de las obligaciones de devolución y supresión previstas en la cláusula 12 y del deber de confidencialidad, que subsiste indefinidamente.

4. Instrucciones del Responsable

El Encargado trata los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que le sea exigible por el Derecho aplicable, en cuyo caso informará al Responsable con carácter previo, salvo prohibición legal.

Se consideran instrucciones documentadas el contrato, este Anexo, la configuración que el Responsable establezca en la plataforma y las peticiones que curse por escrito al correo de contacto del Encargado.

El Encargado informará inmediatamente al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

El Encargado no utilizará los datos para fines propios, no los cederá a terceros al margen de lo previsto en este Anexo, y no los empleará para entrenar modelos de inteligencia artificial propios ni de terceros.

5. Obligaciones del Encargado

Además de lo anterior, el Encargado se obliga a:

1. Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar la confidencialidad, o están sujetas a una obligación de confidencialidad de naturaleza legal.
3. Limitar el acceso a los datos al personal que lo necesite para prestar el servicio, mediante control de accesos por perfiles.
4. Aplicar las medidas técnicas y organizativas descritas en el Apéndice C.
5. Asistir al Responsable en los términos de la cláusula 9.
6. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones de este Anexo.
7. No comunicar los datos a terceros, salvo obligación legal o autorización expresa del Responsable.

6. Obligaciones del Responsable

El Responsable se obliga a:

1. Determinar las finalidades del tratamiento y disponer de base legítima para los tratamientos que encarga.
2. Haber facilitado a los interesados la información exigida por los artículos 13 y 14 del RGPD, incluida la existencia de encargados y de transferencias internacionales.
3. Recabar y gestionar los consentimientos necesarios para el envío de comunicaciones comerciales por cada canal, conforme al artículo 21 de la LSSI.
4. Configurar la plataforma y sus automatizaciones conforme a la normativa aplicable.
5. Cumplir la cláusula 14 de este Anexo sobre exclusión de categorías especiales de datos.
6. Custodiar las credenciales de acceso y gestionar los permisos de sus usuarios.
7. Velar por el cumplimiento de la normativa por parte de sus propios usuarios.

7. Subencargados

El Responsable autoriza al Encargado a recurrir a los subencargados relacionados en el Apéndice B para la prestación del servicio.

El Encargado formalizará con cada subencargado un contrato que le imponga las mismas obligaciones de protección de datos que las establecidas en este Anexo, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento por parte de aquellos.

Cambios. El Encargado informará al Responsable de la incorporación o sustitución de cualquier subencargado con una antelación mínima de treinta días naturales, mediante comunicación al correo de notificaciones del Responsable.

Oposición. Durante ese plazo el Responsable podrá oponerse por motivos razonables y fundados en materia de protección de datos. Si las partes no alcanzan una solución, el Responsable podrá resolver el contrato sin penalización y con derecho al reembolso de la parte proporcional de la cuota no consumida.

8. Transferencias internacionales

El Responsable queda informado de que el Encargado está establecido en Estados Unidos y de que los subencargados del Apéndice B tratan los datos fuera del Espacio Económico Europeo, en Estados Unidos y en India.

Estas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo responsable a encargado entre el Responsable y el Encargado, y módulo encargado a subencargado en el tramo siguiente de la cadena, que las partes suscriben mediante la aceptación de este Anexo y que quedan incorporadas a él por referencia.

Cuando el subencargado esté adherido al marco de privacidad de datos entre la Unión Europea y Estados Unidos, la transferencia podrá ampararse alternativamente en ese mecanismo.

El Encargado ha realizado y mantiene actualizada una evaluación del impacto de las transferencias, que pondrá a disposición del Responsable a solicitud de este.

Si un mecanismo de transferencia dejara de ser válido, el Encargado lo comunicará al Responsable y las partes adoptarán sin demora las medidas necesarias o, en su defecto, el Responsable podrá resolver el contrato sin penalización.

9. Asistencia al Responsable

Derechos de los interesados. Si un interesado dirige al Encargado una solicitud de acceso, rectificación, supresión, oposición, limitación o portabilidad, el Encargado la comunicará al Responsable en el plazo de setenta y dos horas, sin atenderla por su cuenta, y le prestará la asistencia técnica razonable para responderla, incluidas las funciones de exportación, corrección y borrado disponibles en la plataforma.

Otras obligaciones. El Encargado asistirá al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, en particular en la realización de evaluaciones de impacto y en las consultas previas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.

10. Violaciones de la seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las veinticuatro horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por cuenta del Responsable.

La notificación incluirá, en la medida en que sea conocida, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y los datos de contacto para obtener más información. Si no fuera posible facilitar toda la información simultáneamente, se completará de forma gradual.

Corresponde al Responsable decidir sobre la notificación a la autoridad de control y a los interesados. El Encargado le prestará la colaboración necesaria y documentará la incidencia.

11. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de este Anexo y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por el Responsable o por un auditor mandatado por él.

Las auditorías se realizarán con un preaviso mínimo de treinta días naturales, en horario laboral, sin interferir en la operativa del servicio, con una frecuencia máxima anual salvo que exista una violación de seguridad acreditada o una exigencia de la autoridad de control, y bajo obligación de confidencialidad.

El Encargado podrá satisfacer esta obligación mediante la entrega de certificaciones o informes de auditoría vigentes, propios o de sus subencargados, cuando cubran razonablemente el objeto de la comprobación.

12. Devolución y supresión al finalizar el encargo

A la finalización del encargo, y a elección del Responsable, el Encargado le devolverá los datos o los suprimirá.

El Responsable dispone de un plazo de treinta días naturales desde la fecha efectiva de la baja para solicitar la exportación de los datos. Transcurrido ese plazo sin solicitud, el Encargado procederá a la supresión.

El Responsable puede solicitar en cualquier momento la supresión inmediata. En ese caso, el Encargado la ejecutará sobre los sistemas activos en un plazo máximo de setenta y dos horas desde la solicitud. La supresión es irreversible y hace decaer el derecho de exportación, circunstancia de la que el Encargado advertirá antes de ejecutarla.

Las copias de seguridad se sobrescriben conforme al ciclo ordinario de retención de la infraestructura. Durante ese periodo los datos permanecen bloqueados, sin acceso ni tratamiento activo, y se suprimen automáticamente al completarse el ciclo.

El Encargado podrá conservar los datos que le exija conservar el Derecho aplicable, durante el plazo legalmente previsto y con las medidas de seguridad correspondientes, sin tratarlos para ninguna otra finalidad.

A solicitud del Responsable, el Encargado emitirá certificado de supresión.

13. Confidencialidad

El Encargado y su personal mantendrán la confidencialidad sobre los datos tratados por cuenta del Responsable, obligación que subsiste tras la extinción del contrato.

14. Exclusión de categorías especiales de datos

La plataforma no está diseñada ni contratada para el tratamiento de categorías especiales de datos en el sentido del artículo 9 del RGPD.

El Responsable se obliga a no introducir ni recabar a través de la plataforma, por ningún canal, campo, formulario o automatización, datos relativos a la salud, la historia clínica, diagnósticos, tratamientos, motivo de consulta de carácter clínico, imágenes clínicas, radiografías, fotografías de tratamientos, ni datos biométricos o genéticos.

El Responsable configurará sus formularios, sus automatizaciones y los asistentes conversacionales y de voz de modo que no soliciten ese tipo de información.

Si un interesado facilitase espontáneamente datos de salud a través de un canal conectado a la plataforma, el Responsable procederá a su supresión sin dilación y podrá solicitar la asistencia del Encargado para ello.

El incumplimiento de esta cláusula es causa de resolución del contrato. El Encargado no responde de las consecuencias derivadas de la introducción de datos de esta naturaleza por el Responsable en contra de esta previsión.

15. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que le impone la normativa de protección de datos y este Anexo.

La limitación de responsabilidad prevista en el contrato de suscripción se aplica también a este Anexo, salvo en aquello que la normativa imperativa no permita limitar.

16. Legislación aplicable

Este Anexo se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y por la demás normativa española y europea aplicable.

17. Aceptación y perfección del Anexo

Este Anexo se acepta por medios electrónicos, sin necesidad de firma manuscrita, en el momento en que el Responsable completa la contratación de la suscripción a Creativ Flow y marca la casilla de aceptación de las condiciones de servicio, de las que este Anexo forma parte inseparable.

La aceptación así prestada tiene plena validez y eficacia contractual conforme a la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico y a la Ley 6/2020 reguladora de determinados aspectos de los servicios electrónicos de confianza.

El Encargado conserva, como prueba de la aceptación, el registro electrónico de la contratación, que incluye la identificación del Responsable, el nombre y el cargo de la persona que acepta, su correo electrónico, la fecha y la hora de la aceptación y la versión concreta de este Anexo aceptada. El Responsable puede solicitar copia de ese registro en cualquier momento.

Cuando el Encargado modifique este Anexo, publicará una versión nueva y solicitará al Responsable una aceptación nueva. Las versiones anteriores permanecen accesibles y la aceptación prestada sobre una versión no se extiende a las posteriores.

—

Apéndice A. Descripción del tratamiento

Categorías de interesados

• Personas que contactan con el Responsable por cualquiera de los canales conectados a la plataforma.
• Clientes y pacientes del Responsable, en su condición de contactos comerciales.
• Personas que solicitan cita a través de los calendarios del Responsable.
• Personal y usuarios autorizados del Responsable con acceso a la plataforma.

Categorías de datos tratados

• Identificativos: nombre y apellidos.
• De contacto: teléfono, correo electrónico, identificador de perfil en redes sociales y aplicaciones de mensajería, y, cuando el Responsable lo recabe, dirección postal.
• De la interacción: contenido de los mensajes intercambiados por los canales conectados, grabaciones y transcripciones de llamadas cuando esta función esté activada, fecha y hora de las comunicaciones, y origen del contacto.
• De la cita: servicio solicitado en términos comerciales, fecha, hora, profesional y estado de asistencia.
• Comerciales: etapa del embudo, importe del presupuesto, estado de la operación, etiquetas y notas comerciales introducidas por el Responsable.
• De acceso: credenciales y registros de actividad de los usuarios del Responsable.

Categorías de datos expresamente excluidas

Datos de salud, historia clínica, diagnósticos, tratamientos, motivo de consulta de carácter clínico, imágenes clínicas, datos biométricos y genéticos, datos relativos a condenas e infracciones penales, y cualquier otro dato de las categorías del artículo 9 del RGPD.

Operaciones de tratamiento

Recogida, registro, estructuración, conservación, consulta, utilización, comunicación por transmisión a los subencargados autorizados, limitación, supresión y destrucción.

Duración

La del contrato de suscripción, más los plazos de exportación y supresión de la cláusula 12.

—

Apéndice B. Subencargados autorizados

Lista vigente a fecha de agosto de 2026. El Encargado mantiene la lista actualizada y la facilita al Responsable a solicitud, y comunica los cambios conforme a la cláusula 7.

Nota sobre los proveedores de inteligencia artificial. Los asistentes conversacionales y de voz procesan el contenido de los mensajes y llamadas que el Responsable decida encaminar a través de ellos. El Responsable debe tener en cuenta esta circunstancia al configurar sus automatizaciones y al informar a los interesados, y le resulta especialmente aplicable la cláusula 14 de este Anexo.

Nota sobre India. India no dispone de decisión de adecuación de la Comisión Europea. Las transferencias a ese país se amparan exclusivamente en cláusulas contractuales tipo, conforme a la cláusula 8.

—

Apéndice C. Medidas técnicas y organizativas

Control de acceso

• Acceso a la plataforma mediante credenciales individuales, sin cuentas compartidas.
• Autenticación de doble factor obligatoria en las cuentas con privilegios de administración.
• Permisos asignados por perfil, conforme al principio de mínimo privilegio.
• Segregación lógica entre las cuentas de cada cliente, de modo que ningún cliente puede acceder a los datos de otro.
• Revocación del acceso de los usuarios al cesar su relación con el Responsable, a solicitud de este.

Cifrado

• Cifrado de las comunicaciones en tránsito mediante protocolos TLS vigentes.
• Cifrado de los datos en reposo en la infraestructura de alojamiento.

Trazabilidad

• Registro de la actividad de los usuarios en la plataforma, con identificación del usuario, la acción y su fecha y hora.
• Conservación de los registros durante el periodo que permita investigar incidencias de seguridad.

Continuidad y recuperación

• Copias de seguridad periódicas gestionadas por el proveedor de infraestructura.
• Procedimiento de restauración y de recuperación ante incidentes.
• Procedimiento documentado de exportación completa de los datos del Responsable.

Organización

• Compromiso de confidencialidad firmado por el personal con acceso a los datos.
• Formación del personal en protección de datos y seguridad de la información.
• Procedimiento documentado de gestión de violaciones de seguridad, con los plazos de la cláusula 10.
• Registro de las categorías de actividades de tratamiento del artículo 30.2 del RGPD.
• Evaluación previa de los subencargados y formalización de contrato con cada uno de ellos.

Minimización

• Configuración de formularios, automatizaciones y asistentes orientada a recabar únicamente los datos necesarios para la finalidad comercial.
• Exclusión por diseño de los campos destinados a información clínica.
• Las notificaciones internas que genera el sistema no incluyen el motivo de consulta de carácter clínico.

—

Anexo I. Encargo del tratamiento de datos personales. Versión v1.0-2026-08. Publicada el 28 de agosto de 2026. MARKETERWEB LLC, Business ID 7188641. 4300 Ridgecrest Dr SE, Suite L, PMB 1283, Rio Rancho, NM 87124, Estados Unidos. info@marketerweb.us

Versión v1.0-2026-08. Publicada el 27/08/2026.

MARKETERWEB LLC, Business ID 7188641. 4300 Ridgecrest Dr SE, Suite L, PMB 1283, Rio Rancho, NM 87124, Estados Unidos. info@marketerweb.us