ACUERDO RELATIVO AL TRATAMIENTO DE DATOS PERSONALES

DATA PROCESSING AGREEMENT — ENGINORA

Versión 1.0
Fecha de entrada en vigor: 1 de septiembre de 2026

El presente acuerdo relativo al tratamiento de datos personales, en adelante el “DPA”, complementa las Condiciones Generales de Venta y Uso de Enginora.

Regula los tratamientos de datos personales realizados por I AND YOO por cuenta del Cliente en el marco del uso de Enginora.

1. PARTES

1.1 Encargado del tratamiento

El Servicio Enginora es editado por:

I AND YOO
Sociedad por acciones simplificada francesa (société par actions simplifiée) con un capital social de 3.000 EUR
105 avenue des Grésillons
92230 Gennevilliers
Francia

SIREN: 831 208 277
SIRET: 831 208 277 00028
RCS Nanterre
NIF-IVA intracomunitario: FR59831208277

Contacto contractual: formulario de contacto
Contacto de protección de datos: privacy@iandyoo.com

En adelante, “Enginora”, “I AND YOO” o el “Encargado del tratamiento”.

1.2 Cliente

El “Cliente” designa a la persona física o jurídica que actúa con fines profesionales y utiliza Enginora de conformidad con las Condiciones.

Cuando el Cliente determina las finalidades y los medios de un tratamiento de datos personales realizado mediante Enginora, actúa como responsable del tratamiento.

Cuando una agencia, consultor u otro proveedor utiliza Enginora por cuenta de su propio cliente, I AND YOO puede intervenir como subencargado en la cadena de tratamiento.

2. OBJETO

El presente DPA define las condiciones en las que I AND YOO trata datos personales por cuenta del Cliente de conformidad, en particular, con el artículo 28 del Reglamento (UE) 2016/679, denominado “RGPD”.

El DPA se aplica únicamente a los tratamientos para los que I AND YOO actúa por cuenta del Cliente.

No se aplica a los tratamientos respecto de los cuales I AND YOO determina por sí misma las finalidades y los medios, en particular determinados tratamientos relativos a:

• la creación y gestión de Cuentas;
• la facturación;
• la relación comercial;
• el soporte;
• la seguridad del Servicio;
• el cumplimiento de las obligaciones legales de I AND YOO.

Estos tratamientos se describen en la Política de privacidad de Enginora.

3. DESCRIPCIÓN DEL TRATAMIENTO

Las características del tratamiento se detallan en el Anexo 1.

El tratamiento se realiza durante el período de uso del Servicio y, tras su finalización, durante el tiempo estrictamente necesario para la restitución, supresión o conservación legalmente obligatoria de los datos afectados.

4. INSTRUCCIONES DEL CLIENTE

I AND YOO trata los datos personales por cuenta del Cliente únicamente siguiendo instrucciones documentadas del Cliente.

Constituyen, en particular, instrucciones documentadas:

• las Condiciones;
• el presente DPA;
• las acciones y parámetros seleccionados por el Cliente en Enginora;
• la información, contenidos e instrucciones transmitidos por el Cliente;
• las solicitudes dirigidas a Enginora por los canales de soporte o contacto previstos en el contrato.

I AND YOO no utiliza los datos confiados para una finalidad propia incompatible con su función de encargado del tratamiento.

Si I AND YOO considera que una instrucción del Cliente infringe la normativa aplicable en materia de protección de datos, informa al Cliente.

Cuando el Derecho de la Unión Europea o el Derecho francés imponga un tratamiento a I AND YOO con independencia de las instrucciones del Cliente, I AND YOO informa previamente al Cliente, salvo prohibición legal.

5. OBLIGACIONES DEL CLIENTE

El Cliente sigue siendo responsable de:

• la licitud de los tratamientos que decida realizar;
• determinar las finalidades del tratamiento;
• disponer de una base jurídica adecuada;
• informar a las personas afectadas;
• gestionar el ejercicio de sus derechos;
• los datos que decida transmitir a Enginora.

El Cliente se compromete a transmitir únicamente los datos necesarios para su uso del Servicio.

Salvo acuerdo previo por escrito con I AND YOO, Enginora no está diseñado para tratar voluntariamente:

• categorías especiales de datos contempladas en el artículo 9 del RGPD;
• datos relativos a condenas penales e infracciones;
• datos de salud;
• datos que requieran un nivel específico de protección no previsto por el Servicio.

Cuando el Cliente actúe a su vez como encargado del tratamiento, garantiza disponer de la autorización necesaria para hacer intervenir a Enginora como subencargado.

6. CONFIDENCIALIDAD

I AND YOO vela por que las personas autorizadas a tratar datos personales:

• accedan a ellos únicamente en la medida necesaria para sus funciones;
• estén sujetas a una obligación adecuada de confidencialidad;
• traten los datos únicamente de conformidad con las instrucciones aplicables.

Esta obligación sigue siendo aplicable una vez finalice su acceso a los datos.

7. SEGURIDAD

I AND YOO aplica medidas técnicas y organizativas proporcionadas a la naturaleza del Servicio y a los riesgos que presentan los tratamientos.

En la fecha de entrada en vigor del presente DPA, estas medidas incluyen, en particular:

• autenticación de usuarios mediante Firebase Authentication;
• Cuentas de aplicación individuales;
• autenticación mediante correo electrónico/contraseña o Google OAuth;
• verificación de la dirección de correo electrónico;
• controles de acceso a nivel de aplicación para los proyectos y datos asociados a la Cuenta;
• control diferenciado de las funciones de administrador;
• acceso al Servicio mediante HTTPS;
• configuración de encabezados HTTP de seguridad;
• autenticación HMAC de los callbacks de n8n;
• protección anti-replay de los callbacks de n8n;
• mecanismos de idempotencia para los eventos afectados;
• verificación criptográfica de los webhooks de Stripe;
• gestión de secretos de la aplicación mediante variables y mecanismos de credenciales dedicados.

El aislamiento entre Clientes se basa actualmente principalmente en controles de autorización a nivel de aplicación y de pertenencia de los proyectos.

El presente DPA no constituye una garantía de un nivel de servicio, RPO, RTO o disponibilidad determinados.

I AND YOO puede modificar sus medidas de seguridad con el fin de mantener o mejorar el nivel global de protección del Servicio.

8. SUBENCARGADOS

El Cliente autoriza de forma general a I AND YOO a recurrir a subencargados cuando resulte necesario para la prestación de Enginora.

I AND YOO impone a los subencargados afectados obligaciones de protección de datos adecuadas al tratamiento que realizan.

I AND YOO sigue siendo responsable frente al Cliente del cumplimiento de las obligaciones impuestas a sus subencargados en las condiciones previstas en el artículo 28 del RGPD.

La lista de los principales subencargados que pueden tratar datos del Cliente figura en el Anexo 2 y se mantiene actualizada en la página específica de subencargados de Enginora.

I AND YOO informa al Cliente de las incorporaciones o sustituciones sustanciales para permitirle formular una objeción razonablemente motivada relativa a la protección de datos.

Cuando las partes no puedan resolver una objeción legítima, el Cliente podrá poner fin al Servicio afectado en las condiciones previstas por las Condiciones.

9. PROVEEDORES DE INTELIGENCIA ARTIFICIAL

Determinadas operaciones de Enginora utilizan proveedores terceros de inteligencia artificial.

En la fecha de entrada en vigor del presente DPA, los principales proveedores utilizados son:

• OpenAI;
• Anthropic;
• Perplexity.

Los datos transmitidos dependen de la operación solicitada y pueden incluir, en particular:

• el tema tratado;
• el contexto del proyecto;
• información editorial;
• personas y guidelines;
• datos SEO o semánticos;
• contenidos intermedios;
• elementos necesarios para generar un Draft.

I AND YOO limita estas transmisiones a los datos necesarios para ejecutar la operación correspondiente.

I AND YOO no utiliza los datos del Cliente para entrenar un modelo de inteligencia artificial propio.

OpenAI indica que los datos transmitidos a su API no se utilizan por defecto para entrenar sus modelos, salvo opt-in explícito.

Anthropic indica igualmente que los inputs y outputs de sus ofertas comerciales y de su API no se utilizan por defecto para entrenar sus modelos; su DPA y las Cláusulas Contractuales Tipo están incorporados a sus condiciones comerciales.

Perplexity indica que aplica una política de Zero Data Retention a su API Chat Completions/Sonar y no utiliza los contenidos transmitidos a la API para entrenar sus modelos.

I AND YOO puede modificar los modelos o proveedores utilizados cuando resulte necesario para el funcionamiento o la evolución del Servicio, sin perjuicio del cumplimiento del presente DPA.

10. TRANSFERENCIAS INTERNACIONALES

Cuando el tratamiento implique una transferencia de datos personales fuera del Espacio Económico Europeo, I AND YOO vela por que sea aplicable al traslado correspondiente un mecanismo previsto en el capítulo V del RGPD.

Dicho mecanismo puede basarse, en particular, en:

• una decisión de adecuación de la Comisión Europea;
• las Cláusulas Contractuales Tipo de la Comisión Europea;
• cualquier otro mecanismo legalmente aplicable.

Los proveedores cloud y de IA utilizados por Enginora disponen de marcos contractuales de protección de datos destinados a regular sus tratamientos.

Google publica, en particular, un Cloud Data Processing Addendum aplicable a sus servicios Cloud.

OVHcloud también publica un Data Processing Agreement que regula los tratamientos realizados por cuenta de sus clientes.

OpenAI dispone de un Data Processing Addendum aplicable a sus servicios profesionales.

Anthropic incorpora su DPA y las SCC aplicables a sus condiciones comerciales.

El Cliente puede solicitar a privacy@iandyoo.com información adicional razonable relativa a los mecanismos de transferencia aplicables.

11. EJERCICIO DE LOS DERECHOS

El Cliente sigue siendo responsable de responder a las solicitudes de ejercicio de derechos de las personas afectadas.

Teniendo en cuenta la naturaleza del tratamiento, I AND YOO proporciona al Cliente asistencia razonable para permitirle responder, en particular, a solicitudes de:

• acceso;
• rectificación;
• supresión;
• limitación;
• oposición;
• portabilidad cuando resulte aplicable.

Cuando una persona contacte directamente con I AND YOO acerca de datos tratados exclusivamente por cuenta del Cliente, I AND YOO transmitirá la solicitud al Cliente cuando pueda identificar razonablemente al Cliente afectado.

I AND YOO no responde sobre el fondo en lugar del Cliente salvo instrucción de este o cuando exista una obligación legal.

12. VIOLACIÓN DE DATOS PERSONALES

Cuando I AND YOO tenga conocimiento de una violación de datos personales relativa a datos que trata por cuenta del Cliente, informará al Cliente sin dilación indebida.

La notificación incluirá, en la medida en que la información esté disponible:

• la naturaleza conocida de la violación;
• las categorías de datos afectados;
• las consecuencias probables conocidas;
• las medidas adoptadas o previstas;
• la información razonablemente necesaria para que el Cliente cumpla sus propias obligaciones.

Cuando toda la información no esté disponible inmediatamente, podrá facilitarse de forma progresiva.

Esta notificación no constituye un reconocimiento de responsabilidad.

La obligación del encargado del tratamiento de notificar al responsable sin dilación indebida se deriva del artículo 33(2) del RGPD.

13. ASISTENCIA PARA EL CUMPLIMIENTO

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, I AND YOO proporciona asistencia razonable al Cliente en relación con:

• la seguridad de los tratamientos;
• las violaciones de datos personales;
• las evaluaciones de impacto relativas a la protección de datos cuando resulten necesarias;
• las consultas previas que eventualmente deban realizarse ante una autoridad de control.

Esta asistencia no transfiere a I AND YOO las obligaciones que corresponden al Cliente en su calidad de responsable del tratamiento.

14. AUDITORÍA E INFORMACIÓN

I AND YOO pone a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones previstas por el presente DPA y el artículo 28 del RGPD.

Cuando resulte suficiente, las partes darán preferencia a:

• información por escrito;
• cuestionarios;
• políticas o documentos de seguridad disponibles;
• otros elementos de prueba adecuados.

El Cliente puede solicitar una auditoría cuando disponga de un motivo razonable para verificar el cumplimiento del presente DPA.

La auditoría debe organizarse de manera proporcionada, teniendo en cuenta, en particular:

• el tamaño de Enginora;
• la naturaleza y el riesgo de los tratamientos;
• la confidencialidad;
• la seguridad del Servicio;
• los derechos de los demás Clientes.

Las modalidades prácticas de una auditoría no pueden tener como efecto hacer imposible el ejercicio de los derechos previstos en el artículo 28 del RGPD.

15. RESTITUCIÓN Y SUPRESIÓN

Cuando finalicen los tratamientos realizados por cuenta del Cliente, I AND YOO, de conformidad con las instrucciones documentadas del Cliente:

permite al Cliente recuperar los datos afectados mediante las funcionalidades de exportación disponibles en Enginora o, cuando resulte necesario, mediante un procedimiento adicional de restitución; o procede a su supresión,

salvo que una disposición legal imponga su conservación.

Las funcionalidades de exportación del Servicio permiten, en particular, recuperar los datos exportables en formatos estructurados, de uso común y legibles por máquina cuando resulte aplicable. Las modalidades de reversibilidad y cambio de proveedor se describen en las Condiciones y en la página Data Act / Switching de Enginora.

15.1 Procedimiento actual

En la fecha de entrada en vigor del presente DPA, la supresión completa de una Cuenta no se ofrece en modalidad de autoservicio.

Puede enviarse una solicitud a:

privacy@iandyoo.com

I AND YOO tramita la solicitud manualmente tras realizar las comprobaciones razonablemente necesarias relativas a la identidad y poderes del solicitante.

La supresión puede requerir operaciones en varios sistemas utilizados para prestar el Servicio.

I AND YOO realiza dichas operaciones dentro de un plazo razonable teniendo en cuenta su naturaleza y sus obligaciones legales.

15.2 Copias de seguridad

Cuando los datos suprimidos permanezcan temporalmente presentes en una copia de seguridad técnica, no deberán reintroducirse en los tratamientos ordinarios salvo que una restauración técnica lo exija.

Se eliminan de conformidad con el ciclo normal de rotación aplicable a las copias de seguridad.

15.3 Conservación legal

Los datos que deban conservarse en virtud de una obligación legal pueden aislarse y conservarse durante el período legalmente exigido.

Dicha conservación no permite su reutilización para una finalidad incompatible con esa obligación.

16. FINALIZACIÓN DEL DPA

El presente DPA entra en vigor al mismo tiempo que el contrato o desde el momento en que I AND YOO comienza a tratar datos personales por cuenta del Cliente.

Permanece aplicable mientras I AND YOO conserve o trate dichos datos por cuenta del Cliente.

Las obligaciones relativas a la confidencialidad, seguridad, restitución y supresión sobreviven a la terminación del contrato durante el tiempo que resulte necesario.

El DPA se rige por el Derecho francés, sin perjuicio de la aplicación directa del RGPD y de las facultades de las autoridades de control competentes.

ANEXO 1 — DESCRIPCIÓN DE LOS TRATAMIENTOS

Objeto

Prestación del Servicio SaaS Enginora y realización de las operaciones solicitadas por el Cliente.

Duración

Duración de uso del Servicio, incrementada por el período necesario para la restitución, supresión o conservación legalmente obligatoria.

Naturaleza de las operaciones

Según el uso del Servicio:

• recepción;
• almacenamiento;
• organización;
• consulta;
• análisis;
• transformación;
• generación;
• transmisión a los subencargados necesarios;
• restitución;
• supresión.

Finalidades

Entre otras:

• creación y gestión de proyectos;
• construcción de territorios SEO/GEO;
• tratamiento del contexto editorial;
• generación de metadatos;
• recomendaciones de enlazado interno;
• generación y conservación de Drafts;
• ejecución técnica de workflows;
• soporte y diagnóstico cuando resulte necesario.

Categorías de personas afectadas

Según los datos incorporados voluntariamente por el Cliente:

• usuarios y colaboradores del Cliente;
• clientes del Cliente;
• prospectos o contactos profesionales;
• autores o personas mencionadas en los contenidos analizados;
• cualquier otra persona cuyos datos el Cliente incorpore lícitamente en Enginora.

Categorías de datos

Según el uso del Cliente:

• nombres y apellidos;
• funciones e información profesional;
• datos de contacto profesionales;
• contenidos de sitios o páginas analizadas;
• contexto del proyecto;
• personas;
• instrucciones y guidelines editoriales;
• textos y Drafts;
• información contenida en los contenidos proporcionados o producidos;
• metadatos relacionados con los proyectos y Entregables;
• identificadores técnicos necesarios para el funcionamiento del Servicio.

Enginora no está diseñado para recibir voluntariamente categorías especiales de datos personales en el sentido del artículo 9 del RGPD.

ANEXO 2 — PRINCIPALES SUBENCARGADOS

La lista pública actualizada está disponible en:

https://enginora.co/es/legal/subprocessors/

Google dispone de un Cloud Data Processing Addendum para los datos tratados en sus servicios Cloud.

OVHcloud regula mediante DPA los tratamientos realizados por cuenta de sus clientes.

OpenAI publica su DPA e indica que los datos de API no se utilizan para entrenar sus modelos por defecto.

Anthropic indica que su DPA, incluidas las SCC, está incorporado a sus condiciones comerciales.

Perplexity indica que su API aplica actualmente una política Zero Data Retention al contenido de las solicitudes y respuestas y no utiliza dichos contenidos para entrenamiento.

Stripe y el servicio de soporte Tawk.to no se incluyen en este Anexo cuando intervienen en tratamientos respecto de los cuales I AND YOO actúa como responsable del tratamiento. Dichos tratamientos se describen en la Política de privacidad.

ANEXO 3 — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Las principales medidas implementadas en la fecha de entrada en vigor del presente DPA incluyen:

Autenticación y acceso

• Firebase Authentication;
• Cuentas de usuario individuales;
• conexión mediante correo electrónico/contraseña y Google OAuth;
• verificación de la dirección de correo electrónico;
• roles diferenciados para las funciones administrativas;
• controles del lado del servidor sobre las funciones administrativas.

Separación lógica

Los proyectos están asociados al identificador de su usuario.

Los accesos regulares a la aplicación verifican esta pertenencia antes de permitir el acceso a los datos asociados.

El aislamiento se garantiza principalmente a nivel de aplicación.

Seguridad de las comunicaciones y de la aplicación

• acceso público al Servicio mediante HTTPS;
• HSTS configurado;
• encabezados HTTP de seguridad;
• autenticación HMAC de los callbacks de n8n;
• ventana temporal anti-replay;
• mecanismos de idempotencia de los callbacks afectados;
• verificación de las firmas de Stripe para los eventos de pago.

Gestión de secretos

Los secretos necesarios para el funcionamiento del Servicio se suministran a la aplicación y a los workflows mediante variables de entorno o mecanismos de credenciales dedicados.

No están destinados a quedar expuestos del lado del Cliente.

Registro técnico

Enginora conserva determinados datos técnicos necesarios, en particular, para:

• la ejecución de las generaciones;
• el diagnóstico;
• la gestión de errores;
• la idempotencia de callbacks y eventos.

El acceso a esta información se limita a las personas que la necesitan para la explotación o el soporte del Servicio.

Datos y archivos

En su versión actual, Enginora no ofrece una funcionalidad general de carga de archivos.

Seguridad evolutiva

I AND YOO puede adaptar y reforzar las medidas descritas en el presente Anexo en función de:

• los riesgos identificados;
• las evoluciones técnicas;
• los incidentes;
• la evolución del Servicio;

siempre que no reduzca sustancialmente el nivel global de protección de los datos.

Fin del DPA de Enginora — Versión 1.0