Política de privacidad
1. Responsable del tratamiento
Daria Chabanova (ECHO Agency), NIF Y9915486Q, con domicilio en Passeig de Manuel Girona, 46, 08034 Barcelona. Contacto: clientes@echobarcelona.com.
No es obligatorio designar delegado de protección de datos; para cualquier cuestión sobre privacidad puede escribir directamente a clientes@echobarcelona.com.
2. Dos papeles distintos
Conviene distinguir dos situaciones, porque las reglas no son las mismas:
Como responsable. ECHO Agency decide sobre los datos de las personas que acceden al portal y de los contactos de cada empresa cliente. Es lo que regula esta política.
Como encargada. Al gestionar las cuentas de redes sociales de un cliente, ECHO Agency trata datos de seguidores, usuarios y personas que aparecen en los contenidos siguiendo las instrucciones de ese cliente, que es el responsable. Ese tratamiento se rige por el contrato de encargo firmado con cada cliente, y quien quiera ejercer sus derechos sobre esos datos debe dirigirse a la empresa titular de la cuenta.
3. Qué datos tratamos y para qué
| Datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|
| Nombre, email, función e idioma de las personas con acceso al portal | Dar y mantener el acceso, mostrar cada contenido a quien corresponde y registrar las aprobaciones | Ejecución del contrato (art. 6.1.b RGPD) | Mientras dure el acceso y 1 año más |
| Datos de contacto de la empresa cliente y de su representante legal | Gestionar la relación contractual y la comunicación ordinaria | Ejecución del contrato (art. 6.1.b RGPD) | Mientras dure la relación y los plazos de prescripción |
| Datos de facturación: razón social, NIF, domicilio, representante legal, importes | Emitir y conservar facturas y cumplir las obligaciones contables y fiscales | Obligación legal (art. 6.1.c RGPD) | 6 años (Código de Comercio) y 4 años fiscales |
| Registro de aceptación de las condiciones y de las aprobaciones de contenido | Poder demostrar quién aceptó qué y cuándo | Obligación legal e interés legítimo en la prueba (art. 6.1.c y 6.1.f RGPD) | Mientras dure la relación y los plazos de prescripción |
| Datos de reuniones concertadas por Calendly: nombre, email y hora | Organizar las reuniones de seguimiento | Ejecución del contrato (art. 6.1.b RGPD) | Mientras dure la relación |
No se tratan categorías especiales de datos ni se toman decisiones automatizadas con efectos jurídicos. No se elaboran perfiles con los datos de las personas usuarias del portal.
4. Origen de los datos
Los datos proceden de la propia empresa cliente, que los facilita al contratar los servicios y al indicar quiénes deben tener acceso al portal, o de la propia persona usuaria cuando los actualiza.
5. Encargados de tratamiento
ECHO Agency se apoya en proveedores que tratan datos por su cuenta, bajo contrato de encargo y con obligación de confidencialidad:
| Proveedor | Para qué | Dónde se tratan los datos |
|---|---|---|
| Supabase | Base de datos del portal y almacenamiento de los ficheros | Unión Europea |
| Vercel | Alojamiento y ejecución de la aplicación | Estados Unidos (ver apartado 6) |
| Make | Automatización de la recogida de analítica | Unión Europea |
| Calendly | Gestión de las reuniones | Estados Unidos (ver apartado 6) |
| Google Workspace | Correo electrónico y ficheros de trabajo | Unión Europea y Estados Unidos |
| Notion | Documentación interna de trabajo | Estados Unidos (ver apartado 6) |
Fuera de estos proveedores, no se ceden datos a terceros salvo obligación legal, por ejemplo ante la Administración tributaria.
6. Transferencias internacionales
Algunos de los proveedores citados están establecidos en Estados Unidos. En esos casos, el tratamiento se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 sobre el Marco de Privacidad de Datos UE-EE. UU., y subsidiariamente en las cláusulas contractuales tipo aprobadas por la Comisión.
7. Seguridad
El portal aplica, entre otras medidas: acceso mediante credenciales personales, aislamiento de los datos de cada cliente a nivel de registro en la base de datos, ficheros alojados en almacenamiento privado y accesibles solo mediante enlaces temporales firmados, cifrado en tránsito y en reposo, y retirada de accesos cuando una persona deja de colaborar.
8. Sus derechos
Puede solicitar el acceso a sus datos, su rectificación o supresión, la limitación u oposición al tratamiento y la portabilidad, escribiendo a clientes@echobarcelona.com e indicando el derecho que desea ejercer. La respuesta se dará en el plazo de un mes.
Si considera que sus datos no se tratan correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid — aepd.es).