conforme al art. 28 RGPD · Anexo de las Condiciones · Versión 2026-10 · válido desde el 1 de octubre de 2026
Este contrato se aplica automáticamente con cada contrato de ShortBoost One, también en el plan Free; no tiene que firmar nada. Para archivarlo, puede guardar esta página como PDF con la función de impresión de su navegador.
1.1 Este contrato de encargo de tratamiento («AVV») se aplica entre el cliente de ShortBoost One como responsable del tratamiento e Inexdu GmbH, Spitalbergweg 87, 9020 Klagenfurt am Wörthersee, Austria, FN 497589z, como encargado del tratamiento («nosotros»).
1.2 El AVV es un anexo y parte integrante de las Condiciones («contrato principal»). Se aplica desde la celebración del contrato principal y termina con este; las obligaciones que subsisten tras el fin del contrato (en particular, la cláusula 10) siguen en vigor. En caso de contradicción entre las Condiciones y el AVV, en materia de protección de datos prevalece el AVV.
1.3 Si el cliente es a su vez encargado del tratamiento de un tercero, nosotros somos su subencargado del tratamiento. El cliente garantiza que sus instrucciones coinciden con las de su responsable del tratamiento.
2.1 Objeto: Tratamos datos personales por cuenta del cliente en la medida en que le prestamos ShortBoost One, en particular:
2.2 Naturaleza del tratamiento: recoger, guardar, evaluar, mostrar, exportar y eliminar.
2.3 Finalidad: prestación de las funciones del contrato principal, en particular la redirección y las estadísticas.
2.4 Tipos de datos:
2.5 Interesados: visitantes de los enlaces cortos y de las páginas del cliente; personas cuyos datos el cliente introduce en sus contenidos.
2.6 Tratamos categorías especiales de datos personales (art. 9 RGPD) solo si el propio cliente las introduce en los contenidos. Debe evitarlo.
2.7 No son objeto de este AVV los datos que tratamos como responsables del tratamiento independientes: datos de cuenta, de contrato y de pago del cliente y de sus miembros de equipo, registros de seguridad, así como la comprobación de direcciones de destino y la tramitación de denuncias de abusos (véase la política de privacidad). Para la prevención de abusos y la seguridad podemos utilizar los datos de clics también como responsables del tratamiento independientes, en la medida en que sea necesario para ello.
3.1 Tratamos los datos únicamente siguiendo instrucciones documentadas del cliente, también en las transferencias a terceros países, salvo que el derecho de la UE o de Austria nos obligue a realizar un tratamiento; en ese caso se lo comunicamos previamente al cliente, salvo que la ley lo prohíba.
3.2 Las instrucciones del cliente quedan fijadas de forma exhaustiva en el contrato principal, en este AVV y en los ajustes que el cliente realiza en el panel (por ejemplo, píxeles asociados y consulta de consentimiento previa a los píxeles, eliminación de enlaces, exportación). El cliente imparte otras instrucciones en forma de texto a support@shortboost.one. Las instrucciones que excedan el alcance del servicio las tratamos como una solicitud de modificación.
3.3 Si consideramos que una instrucción es ilícita, se lo comunicamos al cliente sin demora y podemos suspender su ejecución hasta que el cliente la confirme o la modifique.
3.4 Plazo de supresión por defecto: A falta de otra instrucción, eliminamos los datos de clics 25 meses después de la visita.
4.1 El cliente es responsable de que el tratamiento sea lícito, en particular de la base jurídica, de la información a los visitantes (por ejemplo, en su política de privacidad) y, cuando sea necesario, de recabar los consentimientos.
4.2 El cliente nos informa sin demora si detecta errores o irregularidades en el tratamiento.
Las personas que tienen acceso a los datos en nuestra empresa están obligadas a la confidencialidad o sujetas a un deber legal de secreto (art. 28, apartado 3, letra b, RGPD, § 6 DSG). La obligación subsiste también tras el fin de su actividad.
6.1 Adoptamos las medidas técnicas y organizativas conforme al art. 32 RGPD que se describen en el Anexo 1.
6.2 Podemos adaptar las medidas al progreso técnico siempre que el nivel de protección no disminuya. Documentamos los cambios sustanciales.
7.1 El cliente nos concede una autorización general para recurrir a subencargados del tratamiento. Los utilizados en el momento de celebrarse el contrato figuran en el Anexo 2 y se consideran autorizados.
7.2 Comunicamos al cliente por correo electrónico un subencargado nuevo o modificado con al menos 30 días de antelación. Dentro de ese plazo, el cliente puede oponerse por un motivo importante de protección de datos. Si no encontramos una solución, el cliente puede cancelar sin coste el contrato principal con efectos desde el empleo del nuevo subencargado; reembolsamos de forma proporcional los importes ya abonados por el tiempo posterior (en Lifetime, conforme a la cláusula 7.3 de las Condiciones). En casos de emergencia (por ejemplo, caída de un proveedor) podemos cambiar de inmediato e informamos sin demora; el derecho de oposición se aplica entonces desde la comunicación.
7.3 Obligamos contractualmente a cada subencargado a las mismas obligaciones de protección de datos que en este AVV, en particular a ofrecer garantías suficientes de medidas técnicas y organizativas adecuadas. Respondemos ante el cliente de su cumplimiento.
7.4 No constituyen subencargo los servicios que utilizamos como prestaciones accesorias, como las telecomunicaciones, los certificados (Let's Encrypt) o la comprobación de direcciones de destino con Google Web Risk y abuse.ch, que realizamos como responsables del tratamiento independientes. Los proveedores de píxeles no son subencargados (cláusula 11.5).
Nosotros o nuestros subencargados solo transmitimos datos a países fuera de la UE y del EEE si se cumplen los requisitos de los arts. 44 y siguientes del RGPD, por ejemplo, una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo. El Anexo 2 indica la base para cada subencargado.
9.1 Derechos de los interesados: El cliente puede consultar, exportar y eliminar por sí mismo los datos de clics a través del panel. Si un interesado se dirige a nosotros, reenviamos la solicitud al cliente sin demora y no respondemos nosotros, salvo que el cliente nos lo indique. En la medida en que el cliente no pueda responder por sí mismo a una solicitud, le asistimos.
9.2 Violaciones de la seguridad de los datos personales: Si detectamos una violación de la seguridad de los datos personales que afecte a datos del cliente, se lo comunicamos sin demora, a ser posible en el plazo de 48 horas, por correo electrónico con la información conforme al art. 33, apartado 3, RGPD en la medida en que dispongamos de ella. Facilitaremos más información posteriormente.
9.3 Otras obligaciones: Asistimos al cliente en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas (arts. 35 y 36 RGPD) con la información de que dispongamos.
9.4 Por la asistencia que exceda del autoservicio en el panel y de las obligaciones legales de nuestro ámbito de responsabilidad, podemos exigir a los clientes empresarios una remuneración razonable en función del trabajo realizado, si la anunciamos previamente. No supeditamos la propia asistencia al pago previo.
9.5 Autoridades y terceros: Informamos al cliente sin demora de las inspecciones y medidas de una autoridad de control que afecten a este AVV, en la medida en que esté permitido. Si los datos que obran en nuestro poder se ven amenazados por un embargo, una incautación, un procedimiento de insolvencia u otras medidas de terceros, informamos igualmente al cliente sin demora y advertimos a los terceros de que el cliente es el responsable de los datos.
9.6 Persona de contacto: No estamos obligados a designar un delegado de protección de datos. La persona de contacto para la protección de datos y este AVV es la dirección de la empresa, localizable en support@shortboost.one.
10.1 El cliente puede exportar (Ajustes → Exportación de datos) y eliminar sus datos en cualquier momento.
10.2 Tras el fin del contrato principal eliminamos los datos tratados por encargo. Si se elimina la cuenta, esto ocurre una vez transcurrida la desactivación de 30 días. Si una cuenta solo pasa al plan Free, el contrato principal continúa; los datos se conservan.
10.3 En nuestras copias de seguridad cifradas, los datos eliminados siguen contenidos hasta que caducan las copias (véase la política de privacidad, sección 16). Hasta entonces no se tratan más y solo se utilizan en caso de restauración; después los eliminamos de nuevo.
10.4 Una obligación de conservación conforme al derecho de la UE o de Austria no se ve afectada.
11.1 Si el cliente asocia píxeles de Meta, Google, TikTok o LinkedIn, entregamos el código del proveedor al navegador del visitante al abrirse el enlace. El cliente determina qué píxeles se cargan y dónde.
11.2 Por defecto entregamos los píxeles asociados a todos los visitantes del enlace, con independencia de su país. Los accesos automatizados (bots) no reciben píxeles.
11.3 Si el cliente activa para un enlace «Pedir consentimiento a los visitantes antes», esa es su instrucción de mostrar antes de la redirección una consulta con su marca (con el nombre de su empresa, los proveedores de píxeles, la indicación de la transmisión también a EE. UU. y los botones equivalentes «Aceptar» y «Continuar sin»). Entonces solo entregamos píxeles si el visitante ha aceptado; con «Continuar sin» redirigimos sin píxeles. Guardamos la elección durante 6 meses en una cookie técnicamente necesaria «sbpx_» con un identificador del cliente (valor «ja» o «nein»), solo para el dominio del enlace corto. Si el visitante elimina la cookie, volvemos a preguntar.
11.4 El cliente es el único responsable de si utiliza píxeles, de si activa la consulta conforme a la cláusula 11.3, de que el tratamiento por los píxeles sea lícito, en particular de que exista la base jurídica necesaria (dentro de la UE y del EEE, para la carga de píxeles, por lo general, un consentimiento conforme al art. 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas, en Austria el § 165, apartado 3, TKG 2021, en Alemania el § 25 TDDDG, así como conforme al derecho de los países fuera de Europa en los que se encuentren sus visitantes), de que informe a los visitantes y de que celebre con el proveedor de píxeles los acuerdos necesarios, por ejemplo, sobre una corresponsabilidad.
11.5 Los datos que el navegador del visitante envía al proveedor de píxeles no pasan por nuestros servidores. Por ello, los proveedores de píxeles no son nuestros subencargados, sino destinatarios elegidos por el cliente.
11.6 Podemos suspender la entrega de píxeles si un proveedor modifica su tecnología de modo que la consulta conforme a la cláusula 11.3 ya no pueda aplicarse con seguridad, es decir, que los píxeles transmitirían datos a pesar de «Continuar sin». Se lo comunicamos al cliente.
12.1 Previa solicitud, ponemos a disposición del cliente la información necesaria para demostrar el cumplimiento de este AVV, en particular una descripción actualizada de las medidas conforme al Anexo 1 y los contratos con subencargados en sus partes relevantes para la protección de datos.
12.2 Si eso no basta, el cliente puede realizar una auditoría (también in situ) o encargarla a un auditor sujeto a deber de secreto que no compita con nosotros. La anuncia con al menos 30 días de antelación; se realiza durante nuestro horario laboral y sin perturbar el funcionamiento, por lo general como máximo una vez al año, salvo tras una violación de la seguridad de los datos personales. Los clientes empresarios soportan sus propios costes y nuestros gastos razonables.
13.1 En materia de responsabilidad se aplica el art. 82 RGPD. Por lo demás, rigen las normas de responsabilidad de las Condiciones.
13.2 Los cambios de este AVV se realizan conforme a la cláusula 20.3 de las Condiciones y, en el caso de nuevos subencargados, conforme a la cláusula 7.2 de este AVV.
13.3 Se aplican el derecho austriaco y las normas de las Condiciones sobre elección del derecho y fuero.
| Subencargado del tratamiento | Servicio | Lugar del tratamiento | Base para terceros países |
|---|---|---|---|
| Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Chipre | Servidor: base de datos, aplicaciones, redirección | Centro de datos de Fráncfort del Meno, Alemania | no necesaria (UE) |
| Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (Google Workspace, Google Drive; anexo de tratamiento de datos en la nube) | Almacenamiento de copias de seguridad cifradas (cifradas con AES-256 antes de subirse, clave solo en poder de Inexdu GmbH; Google no puede leer el contenido) | UE y EE. UU. | Marco de Privacidad de Datos UE-EE. UU. (Google LLC), además cláusulas contractuales tipo |
| easyname GmbH, Canettistraße 5/10, 1100 Viena, Austria | Envío de los correos electrónicos del sistema por SMTP (solo en la medida en que los correos contengan datos conforme a la cláusula 2) | Austria | no necesaria (UE) |
| HighLevel Inc., Dallas, Texas, EE. UU. (operador de la plataforma de BusinessBoost One) | solo en cuentas utilizadas a través de BusinessBoost One: inicio de sesión, integración de ShortBoost en BusinessBoost One, almacenamiento de imágenes en la biblioteca de medios | EE. UU. | Cláusulas contractuales tipo de la Comisión de la UE (art. 46, apartado 2, letra c, RGPD) |
Los programas de IA que el propio cliente conecta con ShortBoost (p. ej., Anthropic Claude) no son subencargados de Inexdu GmbH. El cliente los conecta por instrucción propia y es responsable de la transmisión a ellos.
Versión 2026-10, válida desde el 1 de octubre de 2026