WeDisplay · Legal

Acuerdo de tratamiento de datos

Fecha de entrada en vigor: 10 de julio de 2026 · Versión 1.0

Este Acuerdo de tratamiento de datos ("DPA") forma parte de, y queda incorporado por referencia a, los Términos de servicio de WeDisplay (los "Términos") entre la entidad cliente que ha aceptado los Términos ("Cliente", "usted" o "su") y EN6IA (número de empresa de Québec (NEQ) 2266497173), que opera como "WeDisplay" ("WeDisplay", "nosotros" o "nuestro"). Se aplica siempre que WeDisplay procese Datos personales del cliente (como se definen a continuación) en nombre del Cliente en relación con la plataforma de cartelería digital descrita en los Términos, incluidos nuestro panel de control, aplicaciones, software de reproductor, API y servicios relacionados (en conjunto, el "Servicio"). Los términos en mayúscula no definidos en este DPA tienen el significado que se les da en los Términos.

Este DPA se celebra automáticamente, sin necesidad de ninguna acción adicional por ninguna de las partes, al aceptar el Cliente los Términos y usar de forma continuada el Servicio para procesar Datos personales del cliente. Puede solicitarse una copia contrafirmada a [email protected] para los Clientes que la requieran para sus propios registros o diligencia debida con terceros.

1. Definiciones

• "Responsable" significa la persona física o jurídica que, sola o conjuntamente con otras, determina los fines y medios del tratamiento de datos personales (o, conforme a la Ley 25, la "persona u organismo responsable de la información personal"). Para los Datos personales del cliente, el Cliente es el responsable.
• "Encargado" significa la persona física o jurídica que procesa datos personales en nombre de un responsable (o, conforme a la Ley 25, una "persona u organismo al que se comunica información personal para realizar un acto en nombre de" el responsable). Para los Datos personales del cliente, WeDisplay es el encargado.
• "Datos personales" (o "información personal") significa cualquier información relativa a una persona física identificada o identificable.
• "Datos personales del cliente" significa los datos personales que WeDisplay procesa en nombre del Cliente y conforme a las instrucciones documentadas del Cliente en el curso de la prestación del Servicio, incluyendo (a) datos personales sobre los miembros del equipo del Cliente que el Cliente o sus miembros de equipo envían al Servicio para administrar su cuenta, pantallas, fuentes y permisos, y (b) cualquier dato personal que el Cliente o sus miembros de equipo decidan incluir dentro del Contenido del cliente (por ejemplo, en medios subidos, diseños, horarios o configuraciones de widgets de datos). No incluye datos personales para los cuales WeDisplay sea el responsable, como los datos de cuenta, facturación, visitantes del sitio web y marketing, que se rigen en cambio por nuestra Política de privacidad.
• "Interesado" significa la persona física identificada o identificable a la que se refieren los Datos personales del cliente.
• "Subencargado" significa un tercero contratado por WeDisplay para procesar Datos personales del cliente a fin de proporcionar el Servicio, según se enumera en el Anexo III.
• "Ley 25" significa la Ley de protección de la información personal en el sector privado de Québec, y "RGPD" significa el Reglamento General de Protección de Datos (UE) 2016/679, en cada caso conforme sean modificados de tiempo en tiempo.

2. Roles de las partes

Entre el Cliente y WeDisplay, y respecto de los Datos personales del cliente, el Cliente es el responsable y WeDisplay es el encargado. WeDisplay procesa los Datos personales del cliente únicamente para proporcionar, proteger, respaldar y mantener el Servicio conforme a los Términos y este DPA, y no determina los fines ni los medios de dicho tratamiento.

Cuando el propio Cliente actúe como encargado en nombre de un tercero (por ejemplo, cuando el Cliente presta servicios de señalización a sus propios clientes), el Cliente declara que cuenta con todos los derechos y autorizaciones necesarios para instruir a WeDisplay a procesar los datos personales relacionados según lo establecido en este DPA, y WeDisplay procesará dichos datos únicamente como subencargado del Cliente conforme a esas instrucciones.

3. Alcance, duración, naturaleza y propósito del tratamiento

Objeto. La prestación del Servicio por WeDisplay al Cliente, en la medida en que dicha prestación implique el tratamiento de Datos personales del cliente.

Duración. WeDisplay procesará los Datos personales del cliente durante la vigencia de los Términos, y a partir de entonces solo durante el periodo de cierre descrito en la Sección 9 (Eliminación o devolución de datos) o según lo exija de otro modo la ley aplicable.

Naturaleza y propósito del tratamiento. WeDisplay procesa los Datos personales del cliente en la medida necesaria para operar el Servicio de cartelería digital al que el Cliente se ha suscrito — incluyendo almacenar, transmitir, mostrar y organizar el Contenido del cliente; autenticar a los miembros del equipo, pantallas, reproductores y fuentes del Cliente; hacer cumplir los permisos de acceso que el Cliente configura; brindar atención al cliente; y mantener la seguridad, disponibilidad y confiabilidad del Servicio — y para ningún otro fin.

Tipos de Datos personales del cliente y categorías de interesados. Los tipos específicos de Datos personales del cliente procesados, y las categorías de interesados a los que se refieren, son determinados y controlados únicamente por el Cliente a través de su uso del Servicio. Normalmente, esto consiste en (a) los nombres, direcciones de correo electrónico y asignaciones de rol/permiso de los propios miembros del equipo del Cliente a quienes se otorga acceso al Servicio, y (b) cualquier dato personal que el Cliente o sus miembros de equipo decidan incluir dentro del Contenido del cliente mostrado a través del Servicio (por ejemplo, imágenes, video o documentos que representen o hagan referencia a personas identificables, o datos personales incorporados en un widget de datos que el Cliente configure). El Cliente es el único responsable de garantizar que cuenta con una base legal lícita para enviar dichos datos personales al Servicio, conforme a la Sección 4 (Contenido del cliente y responsabilidad) de los Términos. WeDisplay no tiene la intención de que se usen, y pide al Cliente que no use, el Servicio para procesar categorías especiales de datos personales (como datos de salud, biométricos o de geolocalización precisa relativos a personas identificadas), a menos que el Cliente haya evaluado de forma independiente y acepte la responsabilidad del riesgo elevado que ello implica.

4. Obligaciones del encargado

WeDisplay, respecto de los Datos personales del cliente:

• Procesará solo según instrucciones documentadas. Procesará los Datos personales del cliente únicamente conforme a las instrucciones documentadas del Cliente, que consisten en los Términos, este DPA y la configuración y uso que el Cliente haga de las funciones del Servicio (por ejemplo, subir Contenido del cliente o invitar a un miembro del equipo), salvo que la ley aplicable exija lo contrario, en cuyo caso WeDisplay informará al Cliente de dicho requisito legal antes de procesar, a menos que la ley prohíba dicha divulgación por motivos importantes de interés público. WeDisplay notificará con prontitud al Cliente si, en su opinión, una instrucción infringe la ley de protección de datos aplicable.
• Confidencialidad. Garantizará que el personal autorizado a procesar Datos personales del cliente se haya comprometido a la confidencialidad o esté sujeto a una obligación legal apropiada de confidencialidad, y accederá a los Datos personales del cliente solo en la medida necesaria para cumplir sus funciones en la prestación del Servicio.
• Sin venta de Datos personales del cliente. No venderá los Datos personales del cliente, ni los usará para los propios fines de marketing o publicidad independientes de WeDisplay, ni para ningún fin distinto de proporcionar el Servicio según lo instruido por el Cliente.
• Seguridad. Implementará y mantendrá las medidas de seguridad técnicas y organizativas descritas en el Anexo II.
• Subcontratación. Contratará subencargados solo según lo permitido por la Sección 6 (Subencargados) de este DPA.

5. Medidas de seguridad (Anexo II)

WeDisplay mantiene medidas de seguridad administrativas, técnicas y organizativas diseñadas para proteger los Datos personales del cliente de forma acorde a su sensibilidad, incluyendo:

• Aislamiento de datos por organización — cada consulta y registro en el Servicio se limita a la organización del Cliente, de modo que los datos de un cliente no sean visibles para otro.
• Cifrado de secretos sensibles en reposo — credenciales como tokens de calendario conectado y claves de API de proveedores de IA se cifran antes de almacenarse.
• Cifrado en tránsito — las conexiones al Servicio, sus API y su software de reproductor están protegidas mediante TLS.
• Controles de carga y entrega de medios — los archivos subidos se validan por su firma de archivo real (magic bytes), y los medios se entregan solo cuando corresponden a una carga registrada rastreada en nuestra base de datos (nunca una ruta de sistema de archivos arbitraria), con protección contra el recorrido de rutas.
• Proxy de salida protegido contra SSRF — cuando el Servicio obtiene contenido externo en nombre del Cliente (por ejemplo, para widgets de datos), las solicitudes salientes se enrutan a través de un proxy que bloquea las solicitudes a destinos de red internos o no autorizados.
• Control de acceso basado en roles — el acceso dentro de una organización se rige por un conjunto de permisos granulares asignables individualmente, de modo que los miembros del equipo reciban solo el acceso que su rol requiere.
• Limitación de tasa — los puntos de conexión sensibles, como el registro de cuentas, el restablecimiento de contraseña y la vinculación de dispositivos, tienen limitación de tasa para reducir el riesgo de abuso automatizado.
• Registro de auditoría — las acciones sensibles de cuenta y administrativas se registran para efectos de rendición de cuentas e investigación.
• Salvaguarda de secretos en tiempo de arranque — los sistemas de producción se niegan a iniciar si están configurados con un secreto de autenticación predeterminado o insuficientemente sólido.
• Copias de seguridad — la base de datos de producción se respalda con una periodicidad regular y se almacena con un proveedor de infraestructura que cifra los datos en reposo.

Estas medidas se revisan y actualizan de tiempo en tiempo para reflejar los cambios en el Servicio y en las buenas prácticas de seguridad; cualquier cambio mantendrá o mejorará, y no disminuirá materialmente, el nivel general de protección durante la vigencia de los Términos. WeDisplay actualmente no cuenta con ninguna certificación de seguridad de terceros (como SOC 2, ISO 27001, PCI DSS o certificación HIPAA), y no hace ninguna declaración en el sentido de que la tenga; el Cliente debe tener esto en cuenta al evaluar si el Servicio es adecuado para el uso que pretende dar a los Datos personales del cliente.

6. Subencargados (Anexo III)

El Cliente autoriza a WeDisplay a contratar a los siguientes subencargados para proporcionar el Servicio. Cada uno está sujeto a obligaciones contractuales de confidencialidad y protección de datos apropiadas para los datos personales que pueda procesar:

La infraestructura de retransmisión WebRTC (TURN/coturn) de WeDisplay, usada para ayudar a que las fuentes y reproductores de transmisión en vivo se conecten entre redes, está autoalojada en los propios servidores de WeDisplay y no es operada por un subencargado externo.

WeDisplay sigue siendo responsable del cumplimiento de cada subencargado con obligaciones sustancialmente equivalentes a las establecidas en este DPA. Si WeDisplay tiene la intención de agregar o reemplazar un subencargado que procesará Datos personales del cliente, proporcionaremos un aviso previo razonable publicando una versión actualizada de esta página con una fecha de entrada en vigor revisada, o mediante notificación directa (correo electrónico o dentro de la aplicación) para cambios materiales. El Cliente puede oponerse a un nuevo subencargado por motivos razonables de protección de datos contactando a [email protected] dentro de los 15 días posteriores al aviso; si las partes no pueden resolver la objeción, el único recurso del Cliente es terminar la parte afectada del Servicio conforme a los Términos.

7. Asistencia con solicitudes de interesados y obligaciones de cumplimiento

Teniendo en cuenta la naturaleza del tratamiento, WeDisplay proporcionará al Cliente asistencia razonable, mediante medidas técnicas y organizativas apropiadas, para permitir que el Cliente responda a las solicitudes de interesados que busquen ejercer sus derechos conforme a la ley de protección de datos aplicable (como solicitudes de acceso, rectificación, eliminación o portabilidad) respecto de los Datos personales del cliente. Cuando WeDisplay reciba directamente dicha solicitud de un interesado en relación con los Datos personales del cliente, WeDisplay no responderá directamente (excepto para confirmar su recepción o dirigir a la persona hacia el Cliente) y en su lugar reenviará con prontitud la solicitud al Cliente, a menos que la ley se lo prohíba.

WeDisplay también proporcionará al Cliente asistencia razonable para cumplir con sus obligaciones relacionadas con la seguridad del tratamiento, la notificación de infracciones de datos personales a las autoridades de supervisión y a los interesados, y, cuando corresponda, las evaluaciones de impacto de protección de datos y la consulta previa relacionada con las autoridades de supervisión, teniendo en cuenta la información disponible para WeDisplay y la naturaleza del tratamiento.

8. Notificación de infracciones de datos personales

Si WeDisplay toma conocimiento de un incidente de confidencialidad o infracción de datos personales que afecte a los Datos personales del cliente, WeDisplay notificará al Cliente sin demora indebida tras tomar conocimiento del mismo, y proporcionará la información razonablemente disponible para WeDisplay a fin de ayudar al Cliente a cumplir sus propias obligaciones de notificación de infracciones ante las autoridades reguladoras y los interesados afectados. WeDisplay también tomará medidas razonables para contener, investigar y mitigar el impacto del incidente.

9. Eliminación o devolución de datos

Al terminar o vencer los Términos, WeDisplay pondrá a disposición los Datos personales del cliente para su exportación y, tras el Periodo de retención descrito en la Sección 13 (Suspensión y terminación) de los Términos, eliminará los Datos personales del cliente de sus sistemas de producción, salvo en la medida en que WeDisplay esté obligado o autorizado por la ley aplicable a conservarlos (por ejemplo, con fines legales, fiscales, de seguridad o de resolución de disputas), en cuyo caso WeDisplay continuará protegiendo dichos datos conforme a este DPA mientras se conserven.

10. Derechos de auditoría e información

WeDisplay pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Cliente o por un auditor independiente mandatado por el Cliente, sujeto a un aviso previo por escrito razonable, protecciones de confidencialidad para la información de WeDisplay y de sus otros clientes, y no más de una vez cada periodo de 12 meses, salvo que lo exija una autoridad de supervisión o se realice tras una infracción de datos personales confirmada. Cuando sea razonablemente factible, WeDisplay podrá satisfacer una solicitud de auditoría proporcionando documentación relevante que describa sus medidas de seguridad en lugar de una inspección in situ.

11. Transferencias internacionales

WeDisplay tiene su sede en Québec, Canadá, y procesa los Datos personales del cliente en infraestructura ubicada en Canadá, Estados Unidos y la Unión Europea, incluso a través de los subencargados enumerados en la Sección 6. Cuando una transferencia de Datos personales del cliente fuera de Québec sea requerida por dicho tratamiento, WeDisplay ha realizado, o realizará a solicitud, una evaluación de impacto de la transferencia conforme al requisito de la Ley 25 de garantizar que la jurisdicción u organización destinataria proporcione un nivel de protección de la información personal equivalente al exigido en Québec. Cuando el RGPD sea aplicable a los Datos personales del cliente y estos se transfieran fuera del Espacio Económico Europeo o el Reino Unido a una jurisdicción que no haya recibido una decisión de adecuación aplicable, WeDisplay se basa en las Cláusulas Contractuales Tipo de la Comisión Europea (o en el Anexo Internacional de Transferencia de Datos del Reino Unido, según corresponda) con el subencargado correspondiente, o en otro mecanismo de transferencia legalmente reconocido, como salvaguarda para dicha transferencia.

12. Orden de prelación; ley aplicable; disposiciones generales

En caso de conflicto entre los términos de este DPA y los Términos respecto del tratamiento de los Datos personales del cliente, este DPA prevalecerá en la medida del conflicto. En todos los demás aspectos, los Términos continúan aplicándose, incluidas sus disposiciones sobre responsabilidad, indemnización y resolución de disputas, que se aplican a este DPA como si estuvieran íntegramente reproducidas aquí.

Este DPA se rige por la misma ley aplicable que los Términos — las leyes de la provincia de Québec y las leyes federales de Canadá aplicables en ella — sin dar efecto a los principios de conflicto de leyes que aplicarían la ley de otra jurisdicción. Este DPA se celebra automáticamente al aceptar el Cliente los Términos y usar el Servicio para procesar Datos personales del cliente, y permanece en vigor mientras WeDisplay procese Datos personales del cliente en nombre del Cliente. Los Clientes que requieran una copia firmada manualmente, o que tengan preguntas sobre este DPA, pueden contactar a [email protected].

¿Preguntas sobre este documento? Contacte a [email protected]. Consulte todas las políticas en el Centro legal.