Acuerdo de Tratamiento de Datos

1. Ámbito de aplicación y funciones

Este Acuerdo de Tratamiento de Datos (el «Acuerdo») se aplica cuando utilizas RooQuiz para recopilar datos personales de tus participantes. Forma parte de las Condiciones del Servicio de RooQuiz y se incorpora a ellas por referencia. Al usar el servicio para recopilar respuestas, aceptas este Acuerdo; no se requiere firma alguna para que surta efecto.

Como se explica en nuestra Política de privacidad, nuestra función depende de los datos. Respecto de los datos de tu cuenta (nombre, dirección de correo electrónico, datos de facturación y datos de uso), somos el responsable del tratamiento. Respecto de las respuestas de los quizzes y los leads —las respuestas, los datos de contacto y cualquier otra información que tus participantes envíen a través de los quizzes que creas—, tú eres el responsable del tratamiento y nosotros actuamos como encargado del tratamiento por cuenta tuya. Este Acuerdo regula esa segunda categoría.

El encargado del tratamiento a efectos de este Acuerdo es JINJUN SHAO, que opera bajo el nombre RooQuiz. Contacto: contact@rooquiz.com.

En caso de contradicción entre este Acuerdo y las Condiciones del Servicio o la Política de privacidad respecto del tratamiento realizado por cuenta tuya, prevalecerá este Acuerdo.

2. Objeto, duración, naturaleza y finalidad del tratamiento

Los extremos exigidos por el artículo 28.3 del RGPD son los siguientes:

• Objeto: prestación de la plataforma de quizzes y evaluaciones RooQuiz, incluida la recopilación, puntuación, almacenamiento, análisis y entrega de las respuestas de los quizzes y de los leads derivados de ellas.
• Duración: mientras tu cuenta esté activa, más los plazos de conservación previstos en la sección 9.
• Naturaleza y finalidad: alojar, almacenar, puntuar y mostrar respuestas; generar páginas de resultados e informes; captar y organizar leads; enviar correos de resultados y de notificación según tu configuración; y entregar datos a los destinos que conectes.
• Tipos de datos personales y categorías de interesados: véase el Anexo A.

3. Nuestras obligaciones como encargado del tratamiento

Nos comprometemos a:

• tratar los datos personales únicamente siguiendo tus instrucciones documentadas, incluidas las que expresas mediante tu configuración del servicio (tus preguntas, la puntuación, los ajustes de informe, los conectores y la configuración de correo), salvo que el derecho aplicable exija otra cosa, en cuyo caso te informaremos antes del tratamiento, salvo que dicho derecho lo prohíba;
• garantizar que las personas autorizadas para tratar los datos personales estén sujetas a un deber de confidencialidad;
• aplicar las medidas técnicas y organizativas descritas en el Anexo B;
• asistirte, teniendo en cuenta la naturaleza del tratamiento, en el cumplimiento de tu obligación de responder a las solicitudes de los interesados (véase la sección 6);
• asistirte en el cumplimiento de tus obligaciones conforme a los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispongamos;
• poner a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD (véase la sección 8);
• a tu elección, suprimir o devolver los datos personales al finalizar el servicio, según lo previsto en la sección 9.

No vendemos datos personales ni utilizamos los datos personales de tus participantes para nuestros propios fines, incluidos la publicidad, la elaboración de perfiles o el entrenamiento de modelos de IA.

4. Subencargados

Nos otorgas autorización general por escrito para recurrir a los subencargados enumerados en el Anexo C. Seguimos siendo plenamente responsables ante ti del cumplimiento de las obligaciones de cada subencargado.

Cada subencargado se contrata mediante un contrato escrito que le impone obligaciones de protección de datos no menos protectoras que las de este Acuerdo.

Actualizaremos la lista del Anexo C antes de incorporar o sustituir a un subencargado, y la fecha de «Última actualización» del encabezado de esta página cambiará en consecuencia. Si te opones a un nuevo subencargado por motivos razonables de protección de datos, comunícanoslo en contact@rooquiz.com en un plazo de 30 días; si no podemos ofrecer una alternativa razonable, podrás resolver la parte afectada del servicio y obtener el reembolso de las cantidades pagadas por anticipado y no utilizadas.

Los destinos que conectas tú mismo —Slack, Zapier, Kit, webhooks, tu propio servidor SMTP y cualquier cliente de IA que enlaces mediante MCP— no son subencargados nuestros. Al habilitar uno de ellos, nos instruyes para transmitir datos a un tercero de tu elección, que los trata en el marco de tu relación con él.

5. Transferencias internacionales

La base de datos principal que aloja las respuestas de los quizzes y los leads está ubicada en Estados Unidos (AWS us-west-2, Oregón). La capa de aplicación, el almacenamiento de objetos y la caché se ejecutan en la red global de Cloudflare.

Por tanto, los datos personales tratados al amparo de este Acuerdo se transfieren fuera del Espacio Económico Europeo, y varios de los subencargados enumerados en el Anexo C están establecidos fuera del EEE o explotan infraestructura global. Cuando transferimos datos personales de personas situadas en el EEE, el Reino Unido o Suiza, la transferencia está amparada por las cláusulas contractuales tipo de la Comisión Europea (junto con el Addendum de transferencia internacional de datos del Reino Unido cuando resulte aplicable) o por otro mecanismo de transferencia reconocido en el capítulo V del RGPD. Podemos facilitar una copia de las cláusulas en que nos basamos previa solicitud.

Las funciones de IA —generación de quizzes y análisis de informes— se ejecutan en Cloudflare Workers AI con modelos alojados por Cloudflare. Tu contenido no se envía a OpenAI, Anthropic, Google ni a ningún otro proveedor externo de IA para estas funciones, ni se utiliza para entrenar modelos de terceros.

6. Solicitudes de los interesados

Eres tú quien debe responder a las solicitudes de tus participantes para ejercer sus derechos. El servicio te da acceso directo a los datos personales que tratamos por cuenta tuya: puedes consultar, editar, exportar y suprimir respuestas, participantes y leads desde tu cuenta en cualquier momento, lo que normalmente basta para atender una solicitud sin nuestra intervención.

Si un participante se dirige directamente a nosotros en relación con datos que tú controlas, no responderemos en tu nombre. Le indicaremos que se ponga en contacto contigo y, cuando podamos identificarte como responsable del tratamiento, te trasladaremos la solicitud sin dilación indebida. Si necesitas ayuda que las propias herramientas del producto no puedan ofrecer, escríbenos a contact@rooquiz.com y te asistiremos.

7. Violaciones de la seguridad de los datos personales

Te notificaremos sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos que tratamos por cuenta tuya y, en todo caso, con tiempo suficiente para que puedas cumplir tus propias obligaciones de notificación conforme a los artículos 33 y 34 del RGPD.

La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados en la medida en que se conozcan, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto para obtener más información. Cuando aún no se disponga de una imagen completa, facilitaremos la información por fases a medida que la conozcamos.

8. Auditorías e información

Previa solicitud por escrito, y no más de una vez cada doce meses salvo que una autoridad de control exija otra cosa o se haya producido una violación de seguridad, facilitaremos la información razonablemente necesaria para demostrar nuestro cumplimiento de este Acuerdo, incluida una descripción de nuestras medidas técnicas y organizativas.

Cuando esa información no resulte suficiente para tus fines, cooperaremos de buena fe en una auditoría adicional realizada por ti o por un auditor independiente designado por ti, con sujeción a un preaviso razonable, a obligaciones de confidencialidad y a condiciones que no comprometan la seguridad ni la privacidad de nuestros demás clientes.

9. Supresión y devolución

Puedes suprimir respuestas, participantes y leads en cualquier momento desde tu cuenta, y exportarlos en formato CSV dentro de los límites de exportación de tu plan.

Tras la resolución o expiración de tu cuenta, suprimiremos los datos personales tratados por cuenta tuya en un plazo de 90 días, salvo que su conservación resulte exigible por el derecho aplicable. Las copias de seguridad se purgan en su ciclo de rotación habitual. Si necesitas una exportación final, solicítala antes de que se cierre tu cuenta.

Si lo solicitas antes de la supresión, pondremos los datos a tu disposición en un formato estructurado, de uso común y lectura mecánica.

10. Tus obligaciones como responsable del tratamiento

Eres responsable de la licitud de los datos que recopilas a través de RooQuiz. En particular, debes:

• contar con una base jurídica conforme al artículo 6 del RGPD para recopilar y utilizar los datos de los participantes, así como con una base válida para cualquier acción de marketing posterior;
• facilitar a tus participantes la información exigida por los artículos 13 y 14 del RGPD: quién eres, qué harás con sus respuestas y cómo pueden contactarte;
• obtener el consentimiento cuando esa sea la base en la que te apoyes, incluido el envío de correos de marketing a los leads captados mediante un quiz, y conservar constancia de ello;
• no recopilar categorías especiales de datos (artículo 9 del RGPD) —datos de salud, biométricos, políticos, religiosos o similares— a través de los quizzes, salvo que dispongas de una base jurídica adecuada y nos lo hayas comunicado previamente;
• configurar el servicio, incluidos los requisitos de acceso al informe y los conectores, de forma coherente con lo que hayas comunicado a tus participantes.

RooQuiz lo recaba por ti de forma predeterminada: allí donde un participante facilita su correo para ver el informe, una casilla opcional —nunca marcada de antemano— le pregunta si desea recibir tus mensajes. No hay nada que activar. No marcarla no le impide ver el informe, porque un consentimiento exigido a cambio de algo no es válido. El estado del consentimiento se puede filtrar en tus leads y participantes y se incluye en las exportaciones, de modo que solo escribas a quienes aceptaron. La revocación es autogestionada para quien tenga cuenta: puede desactivarla en cualquier momento desde su centro personal, y tus listas y exportaciones lo reflejan de inmediato; no tienes que tramitar la solicitud. Quien solo abrió un informe puntual no tiene cuenta; si esa persona te pide que dejes de escribirle, puedes revocarlo en su nombre desde la ficha del lead. No puedes otorgar el consentimiento en nombre de otra persona: solo el participante puede hacerlo, y eso es lo que mantiene el valor probatorio del registro. Sigues siendo responsable de lo que envías y de atender cualquier revocación que te llegue directamente.

11. Ejemplares firmados

Este Acuerdo surte efecto sin necesidad de firma. Si tu proceso de cumplimiento requiere un ejemplar firmado por ambas partes, o una versión en tu propio formato, escribe a contact@rooquiz.com y lo gestionaremos.

Anexo A — Detalles del tratamiento

Categorías de interesados

Las personas que responden a los quizzes que publicas («participantes») y cualquier persona cuyos datos introduzcas tú mismo en RooQuiz como lead.

Categorías de datos personales

• Datos de identidad y contacto: nombre, dirección de correo electrónico y número de teléfono cuando tu quiz o tus ajustes de leads los recopilen.
• Datos de respuesta: las respuestas enviadas a tus quizzes, incluidas las de texto libre, junto con las puntuaciones, los resultados por dimensión y el informe generado.
• Datos de gestión de leads: notas, comentarios, etiquetas, asignación, origen y estado que registres respecto de un lead.
• Datos de reserva: horarios solicitados, zona horaria y cualquier mensaje enviado al reservar una llamada desde una página de resultados.
• Datos técnicos: dirección IP, agente de usuario, marcas de tiempo y metadatos de envío recabados para operar y proteger el servicio.
• Cualesquiera otros datos personales que decidas recopilar mediante tus preguntas o campos personalizados de participante.

Categorías especiales de datos

No previstas. Puesto que los quizzes los configuras tú, controlas si se recopilan esos datos; véase la sección 10.

Frecuencia y duración

De forma continua, mientras uses el servicio, con sujeción a las condiciones de conservación y supresión de la sección 9.

Anexo B — Medidas técnicas y organizativas

Mantenemos medidas adecuadas al riesgo, entre ellas:

• Cifrado en tránsito (TLS) en todas las conexiones a la plataforma y cifrado en reposo de la base de datos principal y del almacenamiento de objetos.
• Las credenciales de los destinos conectados (como los tokens de acceso de Slack y Kit) se almacenan cifradas en la capa de aplicación.
• Aislamiento entre inquilinos: toda consulta queda acotada al equipo propietario de los datos, algo que impone la capa de acceso de la aplicación y no una mera convención.
• Control de acceso basado en roles dentro de cada equipo (propietario, administrador, miembro, visor), con comprobación de permisos tanto en lectura como en escritura.
• Los datos personales devueltos a clientes de IA a través de la interfaz MCP se enmascaran antes de salir de nuestros sistemas.
• Protección frente a bots y abusos en las páginas públicas de los quizzes (Cloudflare Turnstile) y limitación de peticiones en los puntos de acceso sensibles.
• Un registro de auditoría de las acciones administrativas, conservado 90 días en el plan gratuito y 365 días en Pro.
• Acceso a los sistemas de producción limitado al personal que lo necesita y protegido con autenticación multifactor.
• Infraestructura gestionada y redundante, con copias de seguridad automatizadas de la base de datos.
• Aplicación de parches de seguridad mediante actualizaciones periódicas de dependencias y alertas automatizadas de vulnerabilidades.

Estas medidas evolucionan con el servicio. Podemos sustituir una medida por otra que ofrezca una protección al menos equivalente.

Anexo C — Subencargados

Recurrimos a los siguientes subencargados para prestar el servicio. Por «datos de cuenta» se entienden los datos sobre ti como cliente de RooQuiz; por «datos de servicio», las respuestas y los leads que tratamos por cuenta tuya.

Los destinos que conectas tú mismo no figuran arriba; véase la sección 4.

Preguntas

Escríbenos a contact@rooquiz.com. Para conocer nuestro tratamiento general de los datos personales, consulta la Política de privacidad.

Política de privacidad · Condiciones del Servicio