Acuerdo de tratamiento de datos
Versión: 16 de septiembre de 2026.
1. Partes e incorporación al contrato
Este acuerdo establece las condiciones del tratamiento por cuenta del cliente conforme al artículo 28 del RGPD. El encargado es César Ming, NIF 50205318K, Plaza Parroquia, 28025, Madrid, España, titular de Revenue Guard. Contacto: soporte@wprevenueguard.com.
El cliente actúa como responsable de los datos de sus sitios, o acredita que está autorizado para contratar un subencargado cuando actúa por cuenta de otro responsable. Este acuerdo debe incorporarse a la relación contractual mediante aceptación documentada de las partes, incluida la electrónica; su publicación no acredita por sí sola esa aceptación ni sustituye el acuerdo con otros proveedores. Para formalizarlo, solicita a soporte la incorporación de esta versión identificando la cuenta y los sitios afectados, sin enviar credenciales.
El acuerdo regula exclusivamente los tratamientos por cuenta del cliente. Los datos de contacto y administración que Revenue Guard gestione como responsable se rigen por la política de privacidad. Las cláusulas de protección de datos prevalecen sobre previsiones incompatibles de las condiciones generales en ese ámbito.
2. Objeto, operaciones y duración
El encargo comprende recibir, validar y almacenar señales operativas admitidas; evaluar reglas deterministas; mantener el histórico necesario; generar notificaciones y atender incidencias de monitorización. Se aplica durante la prestación y hasta la devolución o supresión que corresponda al finalizar. No autoriza publicidad, venta de datos, entrenamiento de modelos ni reutilización para fines propios ajenos al servicio.
Las instrucciones son las operaciones contratadas, los ajustes expresos del administrador y las solicitudes documentadas de representantes autorizados. El encargado tratará los datos sólo conforme a esas instrucciones, incluidas las relativas a transferencias, salvo obligación legal; en tal caso informará previamente al cliente, a menos que la ley lo prohíba. Advertirá de una instrucción que considere contraria a la normativa y suspenderá esa instrucción hasta aclararla.
3. Datos e interesados
Pueden tratarse URL, nombre e identificadores técnicos del sitio; versiones de software; fecha y tipo de evento; códigos de error; proveedor e identificadores técnicos de formularios; hashes de pedidos, importes, moneda, estado y método de pago; host y huella HMAC de rutas fallidas; dirección del destinatario de alertas. Pueden referirse indirectamente a administradores, personal y usuarios de los sitios. El contrato API limita los campos y no autoriza contenido libre de formularios o comunicaciones.
No se solicitan datos especialmente protegidos, números de tarjeta, nombres o emails de clientes finales, teléfonos, direcciones postales, cuerpos HTTP, cabeceras de autenticación ni parámetros de URL. El cliente debe evitar su envío, respetar la minimización e informar al encargado si detecta una inclusión accidental. Los metadatos se tratan como potencialmente identificables; un hash no implica anonimización garantizada.
4. Obligaciones del cliente
El cliente determina la finalidad, aporta una base jurídica válida, informa a los interesados y verifica que las instrucciones y la contratación del encargado son lícitas. Mantiene las autorizaciones de sus administradores, revisa los datos permitidos, protege su instalación y comunica los cambios que afecten al tratamiento. No debe transmitir credenciales ni datos de terceros en una consulta de soporte cuando no sean necesarios.
5. Confidencialidad y medidas de seguridad
El acceso del encargado se limita a personas autorizadas sujetas a confidencialidad. Se aplican HTTPS, autenticación de sitios y revocación, aislamiento lógico por cuenta/sitio, validación por lista permitida, hashes de credenciales en la API y cifrado de los destinatarios de alertas. Los secretos se mantienen separados del repositorio y las copias privadas se protegen mediante permisos de acceso.
Los avisos evitan reproducir el contenido de clientes finales. Las medidas se revisarán según el riesgo, considerando disponibilidad, integridad, confidencialidad y recuperación. Esta descripción no certifica cifrado integral de disco, auditoría independiente, copia externa al VPS o disponibilidad ininterrumpida. El encargado facilitará información sobre las medidas aplicables cuando el cliente la requiera para evaluar el encargo.
6. Subencargados y proveedores
El alojamiento y operación de web, API, bases de datos y correo se realiza en Clouding, España. Clouding actúa como proveedor de infraestructura en el tratamiento operativo. Google interviene en las comunicaciones que se reenvían al buzón Gmail de soporte; no debe enviarse por ese canal la telemetría completa ni datos innecesarios de los usuarios del cliente. Freemius interviene en compra, facturación y licencias con las funciones definidas en sus propias condiciones; no recibe el flujo de eventos de monitorización del plugin.
Al formalizar el acuerdo se documentarán los proveedores autorizados, sus funciones y las condiciones aplicables. Si se concede autorización general para subencargados, Revenue Guard informará previamente de nuevas incorporaciones o sustituciones y dará al cliente ocasión de oponerse por motivos fundados de protección de datos. Una oposición no resuelta impedirá encargar ese tratamiento al nuevo proveedor; las partes buscarán una alternativa o acordarán la finalización del servicio afectado sin perjuicio de sus derechos.
El encargado exigirá por contrato a cada subencargado obligaciones de protección equivalentes en lo aplicable y seguirá respondiendo frente al cliente por el cumplimiento de esas obligaciones. No se considerará verificado un contrato de subencargo por el mero hecho de citar al proveedor en esta página.
7. Transferencias internacionales
El alojamiento en España no excluye accesos internacionales de proveedores. No se realizarán transferencias sujetas al capítulo V del RGPD sin las instrucciones y garantías legalmente necesarias. Cuando proceda se documentará una decisión de adecuación aplicable, cláusulas contractuales tipo u otro instrumento válido y las medidas complementarias requeridas. El encargado facilitará al cliente información sobre el destino, tratamiento y garantías antes de iniciar una transferencia que precise su autorización. No se presume la cobertura de una certificación sin verificar su entidad y alcance.
8. Derechos, evaluaciones e incidentes
El encargado asistirá al cliente, atendiendo a la naturaleza del tratamiento y la información disponible, en solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como en seguridad, evaluaciones de impacto y consultas a autoridades. Trasladará sin dilación indebida las solicitudes que reciba sobre datos del cliente, sin resolver por su cuenta salvo obligación legal o instrucción autorizada.
Cuando conozca una violación de seguridad de los datos del encargo, informará al cliente sin dilación indebida, indicando la naturaleza, datos y personas potencialmente afectados, consecuencias previsibles, medidas y contacto disponible. Podrá aportar información por fases cuando no sea posible facilitarla a la vez. Cooperará para mitigar el incidente; las comunicaciones a autoridades e interesados se efectuarán por la parte obligada conforme a la ley, sin ocultar obligaciones propias del encargado.
9. Información y auditorías
El encargado pondrá a disposición la información necesaria para demostrar el cumplimiento del encargo y permitirá auditorías, incluidas inspecciones, realizadas por el responsable o un auditor autorizado. Se coordinarán de forma proporcionada, con confidencialidad y medidas que protejan a otros clientes, sin vaciar ese derecho ni dificultar las facultades de la autoridad de control.
10. Devolución, supresión y copias
Al finalizar, el encargado devolverá o suprimirá los datos por elección del responsable y eliminará las copias, salvo obligación legal de conservación. Las partes documentarán la elección y el alcance; el encargado informará de la ejecución y de cualquier excepción legal, manteniendo en ese caso los datos restringidos a la finalidad exigida.
En la implementación actual estas operaciones se gestionan manualmente: desconectar WordPress, desinstalar el agente o cancelar la licencia no borra automáticamente sitios, eventos ni alertas. El cliente puede solicitar devolución o supresión a soporte, acreditando su autorización. Se identificará también la presencia de datos en las copias privadas, se comunicará su tratamiento y no se reintroducirán datos suprimidos en el servicio ordinario al restaurarlas.
No se afirma que exista una purga automática ni un plazo técnico uniforme para todas las copias históricas. Esto no exime de cumplir las instrucciones de supresión ni permite una conservación indefinida por mera conveniencia técnica. Antes de formalizar un encargo que exija un plazo concreto, las partes deberán documentar uno ejecutable y sus excepciones legales.
11. Contacto y normativa
Canal para instrucciones y consultas: soporte@wprevenueguard.com. Se aplican el RGPD, la normativa española de protección de datos y las reglas de competencia obligatorias. Una instrucción o condición comercial no puede reducir las obligaciones imperativas de este acuerdo. Su formalización no constituye certificación jurídica ni auditoría del cliente o del proveedor.