Anexo legal

ANEXO DE PROCESAMIENTO DE DATOS (DPA)

Cumplimiento Global: GDPR (UE), CCPA/CPRA (USA) y LGPD (Brasil) – Admedia Services LLC

1. Introducción y Alcance

El presente Anexo de Procesamiento de Datos (“DPA”) regula el tratamiento de datos que realiza Admedia Services LLC, sociedad constituida en el Estado de Wyoming, Estados Unidos (“Admedia”), en el marco de la prestación de servicios de publicidad programática full-funnel al Cliente.

Este documento armoniza y declara cumplimiento simultáneo con:

  • GDPR (Reglamento General de Protección de Datos – Unión Europea).
  • CCPA/CPRA (California Consumer Privacy Act / California Privacy Rights Act – Estados Unidos).
  • LGPD (Lei Geral de Proteção de Dados – Brasil).

El DPA se aplica cuando Admedia procesa datos en calidad de:

  • Encargado (“Processor”) para datos recibidos del Cliente.
  • Responsable (“Controller”) respecto de identificadores técnicos anonimizados creados por sus sistemas.

Admedia opera bajo un modelo Business-to-Business (B2B) y no identifica directamente a individuos.

2. Naturaleza de los Servicios y Tratamientos

Admedia presta servicios ad-tech que incluyen, entre otros:

  • Colecta de datos mediante tags en anuncios.
  • Colecta de datos de navegación en sitios del Cliente.
  • Segmentación full-funnel (upper, mid, low).
  • DSP con puja en tiempo real (RTB).
  • AdServer propio.
  • Motor de recomendación basado en comportamiento y feed de productos.
  • Procesamiento de feeds de productos.
  • AdBuilder y DCO dinámico.
  • Métricas y reporting.
  • Detección de tráfico inválido o fraudulento.

Todos los tratamientos se realizan mediante identificadores técnicos, nunca mediante datos que identifiquen a una persona física.

SECCIÓN I – GDPR (UNIÓN EUROPEA)

3. Categorías de Datos Tratados (GDPR)

Los datos procesados pueden constituir “datos personales” según GDPR cuando se vinculan a un identificador técnico, incluyendo:

  • Cookies pseudónimas.
  • Identificadores publicitarios.
  • Identificadores técnicos de Admedia.
  • Información del navegador (user-agent).
  • URLs visitadas.
  • Timestamps.
  • IDs de productos visitados, añadidos al carrito o comprados.
  • IPs limitadas para detección de fraude (sin geolocalización exacta).

No se tratan: nombre, apellido, email, domicilio, teléfono, datos bancarios, datos sensibles ni geolocalización precisa.

4. Base Legal (GDPR)

4.1 Consentimiento – art. 6(1)(a) GDPR

Para cookies y tecnologías de seguimiento utilizadas en sitios del Cliente.

4.2 Interés legítimo – art. 6(1)(f) GDPR

Exclusivamente para:

  • Prevención de fraude publicitario.
  • Seguridad de infraestructura.
  • Detección de tráfico no humano.

En ningún caso se usa interés legítimo para perfilar usuarios con fines publicitarios sin consentimiento previo.

5. Roles y Responsabilidades (GDPR)

Admedia como Encargado (Processor)

Para datos del Cliente utilizados en campañas: IDs de productos, transacciones, eventos del sitio, feed del Cliente.

Admedia como Responsable (Controller)

Para identificadores técnicos anonimizados generados por sus sistemas.

6. Derechos del Usuario (GDPR)

Admedia no puede identificar personas, pero cuando un usuario europeo pueda ser vinculado a un identificador técnico, el Cliente deberá facilitar:

  • Acceso.
  • Rectificación.
  • Supresión.
  • Restricción.
  • Portabilidad.
  • Objeción.
  • Retiro del consentimiento.

Admedia cooperará para cumplir dichos derechos cuando sea técnicamente posible.

7. Transferencias Internacionales (GDPR)

Admedia podrá procesar datos en infraestructura en la nube ubicada fuera del EEE, utilizando:

  • Cláusulas Contractuales Tipo (SCC).
  • Medidas de seguridad equivalentes.
  • Controles organizativos y técnicos apropiados.

Admedia no transfiere datos personales identificables.

SECCIÓN II – CCPA / CPRA (CALIFORNIA, USA)

8. Definición de Información Personal (CCPA/CPRA)

CCPA considera “información personal” cualquier dato que pueda identificar o asociarse razonablemente con un consumidor. Admedia no procesa información personal identificable. Opera únicamente con:

  • Identificadores técnicos.
  • Información de navegación no identificable.
  • Información del dispositivo.
  • Eventos anonimizados.

9. Obligaciones como “Service Provider” (CCPA/CPRA)

Admedia actúa como Service Provider y, por tanto:

  • No vende datos personales (“no sale”).
  • No comparte información personal para fines de terceros.
  • Procesa datos solo para cumplir instrucciones del Cliente.
  • No combina datos del Cliente con datos de terceros para fines no autorizados.
  • No usa datos para crear perfiles fuera del ámbito del servicio.

Si un consumidor ejerce derechos CCPA (acceso, eliminación, opt-out), Admedia asistirá al Cliente cuando sea técnicamente posible.

10. “Sensitive Personal Information” (CPRA)

Admedia no procesa categorías sensibles de datos según la definición de CPRA.

SECCIÓN III – LGPD (BRASIL)

11. Categorías de Datos (LGPD)

LGPD define como dato personal cualquier información relacionada a una persona física identificada o identificable. Admedia solo procesa:

  • Identificadores técnicos no identificables.
  • Comportamiento anónimo.
  • Señales generadas en sitios del Cliente.
  • Datos técnicos del dispositivo.

12. Bases Legales (LGPD)

El tratamiento se fundamenta en:

  • Consentimiento del usuario final cuando corresponde (cookies).
  • Legítimo interés para mediciones agregadas, prevención de fraude, seguridad y operación del servicio, con LIA cuando sea necesario.

13. Derechos del Titular (LGPD)

Los usuarios brasileños podrán ejercer, a través del Cliente, los derechos de:

  • Confirmación del tratamiento.
  • Acceso.
  • Rectificación.
  • Anonimización o eliminación.
  • Portabilidad (cuando corresponda).
  • Información sobre compartición.
  • Revocación del consentimiento.
  • Oposición.

Admedia colaborará cuando técnicamente sea viable.

SECCIÓN IV – DISPOSICIONES GLOBALES

14. Seguridad de la Información

Admedia implementa controles de seguridad acordes al nivel de riesgo, incluyendo:

  • Cifrado en tránsito y en reposo.
  • Control de accesos y roles.
  • Infraestructura en la nube con certificaciones internacionales.
  • Monitoreo y alertas.
  • Redundancia y respaldo.
  • Separación de entornos.

15. Retención de Datos

Los datos se conservan por un período máximo de 180 días desde la última interacción. Tras ese período:

  • Los datos se eliminan, o
  • Se anonimizan irreversiblemente, o
  • Se mantienen solo en forma agregada para fines estadísticos.

16. Prohibiciones para Admedia

Admedia no podrá:

  • Identificar usuarios finales con datos propios o de terceros.
  • Vender o compartir datos del Cliente.
  • Usar datos del Cliente para fines distintos al servicio.
  • Combinar datos entre Clientes.
  • Utilizar información para marketing propio.
  • Desanonimizar información.
  • Realizar perfilamiento con efectos legales o discriminatorios.

17. Subprocesadores (Sub-Processors)

Admedia puede contratar subprocesadores para:

  • Infraestructura en la nube.
  • Servicios de monitoreo.
  • Servicios IT y mantenimiento.
  • Seguridad.
  • Almacenamiento.

Todos operan bajo acuerdos de protección equivalentes.

18. Incidentes de Seguridad

En caso de incidente de seguridad, Admedia:

  • Notificará al Cliente sin demora indebida.
  • Proporcionará la información razonablemente disponible.
  • Tomará medidas para contener y mitigar el incidente.
  • Cooperará con obligaciones regulatorias aplicables (GDPR, LGPD, CCPA).

19. Terminación

Tras la terminación del servicio:

  • Los datos del Cliente serán eliminados o anonimizados.
  • Admedia no conservará copias, excepto cuando la ley lo requiera.
  • El Cliente puede solicitar certificación de eliminación.

20. Contacto

Oficial de Protección de Datos (DPO / Global Privacy Contact)

Admedia Services LLC
Email: contact@servicesadmedia.com