Acuerdo de tratamiento de datos (DPA)

En el marco de la Ley turca n.º 6698 de Protección de Datos Personales y su legislación secundaria · Versión 1.0 · Última actualización: 12 de junio de 2026

Artículo 1 — Partes

Este Acuerdo de tratamiento de datos (el «Acuerdo» o el «DPA») se celebra entre las siguientes partes:

El Responsable y el Encargado se denominan conjuntamente las «Partes» e individualmente una «Parte».

Artículo 2 — Definiciones

Los términos en mayúscula inicial se utilizan, salvo indicación en contrario, con el significado que les atribuyen la Ley n.º 6698 (art. 3) y su legislación secundaria. Los principales: Ley/KVKK (Ley n.º 6698); Autoridad/Consejo (Autoridad/Consejo turcos de Protección de Datos Personales); Dato personal, Categorías especiales de datos, Tratamiento, Responsable del tratamiento, Encargado del tratamiento, Subencargado (Anexo 2); Interesado (los representantes personas físicas de las empresas contactadas a través de la plataforma y los comerciantes/autónomos personas físicas titulares de dichas empresas); Contrato tipo (los textos modelo adoptados por la resolución del Consejo de 04.06.2024); Mensaje electrónico comercial/İYS (Ley n.º 6563); Instrucción de tratamiento (las acciones de campaña, segmentación, listado y envío que el Cliente crea en la plataforma se consideran instrucciones documentadas).

Artículo 3 — Objeto y alcance

El objeto de este Acuerdo es regular los derechos y obligaciones relativos a la realización conforme al KVKK de las actividades de tratamiento de datos personales llevadas a cabo en nombre del Cliente a través de la plataforma LeaderMix, en el marco de la relación de Términos de uso / Suscripción entre las Partes (el «Contrato principal»). Este Acuerdo es un anexo inseparable del Contrato principal; en caso de conflicto en materia de protección de datos personales, prevalece este Acuerdo. El Acuerdo abarca las actividades de tratamiento, categorías de datos y grupos de interesados del Anexo 1.

Artículo 4 — Roles de las Partes y justificación

4.1. Por la naturaleza esencial de la actividad de tratamiento, el Cliente es el «Responsable del tratamiento» y LeaderMix el «Encargado del tratamiento». El Cliente determina la finalidad y los medios esenciales del tratamiento (segmentación, listado, con qué texto/cuándo comunicar, iniciar/detener campañas) (KVKK art. 3/1-ı); LeaderMix ejecuta estas decisiones en nombre del Cliente conforme a sus instrucciones en la plataforma (art. 3/1-ğ) y no utiliza los datos para fines independientes propios. Dado que los mensajes enviados promocionan los bienes/servicios del Cliente, la condición de «prestador de servicios» de la Ley 6563 también corresponde al Cliente.

4.2. LeaderMix es responsable del tratamiento independiente únicamente en las siguientes actividades (fuera del alcance de este Acuerdo): establecimiento/operación/seguridad de la plataforma; gestión de cuentas, facturación, conservación legal; desarrollo de producto y estadística únicamente con datos anonimizados/agregados.

4.3. Aislamiento de datos y prohibición de agrupación (verificado a nivel de arquitectura). Los registros de leads de cada Cliente se mantienen aislados y vinculados a la identidad del usuario; el control de duplicados se realiza solo dentro del conjunto de datos del propio Cliente; cuando distintas Clientes escanean la misma empresa se crean registros separados; el lead de un Cliente no se hace visible ni se reutiliza por otros; el acceso se filtra por identidad de usuario. LeaderMix se compromete a no agrupar en una base común para varios Clientes los datos personales que recopila y a no reutilizarlos. Si esta arquitectura cambia y los datos se usan con fines comunes entre Clientes, LeaderMix pasará a ser corresponsable/responsable independiente respecto de esa actividad y lo notificará previamente al Cliente.

Artículo 5 — Naturaleza, finalidad y duración del tratamiento; categorías de datos

En síntesis, la actividad de tratamiento consiste en recopilar de fuentes públicamente accesibles (Google Maps/Places, sitios web de empresas, directorios en línea, LinkedIn) datos de contacto de empresas/representantes, verificarlos, realizar análisis de empresa y generación de textos de mensajes con IA, enviar correos promocionales y hacer seguimiento de respuestas; el detalle consta en el Anexo 1. LeaderMix se compromete a no tratar más allá del Anexo 1; a no recopilar/tratar categorías especiales de datos del art. 6 del KVKK y, si se detectan incidentalmente, a destruirlas sin demora e informar al Cliente.

Artículo 6 — Bases de licitud del tratamiento (KVKK arts. 5–6 y Ley 6563/İYS)

6.1. El Cliente garantiza la concurrencia de al menos una de las condiciones del art. 5 del KVKK respecto de los datos tratados. La base principal es el interés legítimo del Cliente (art. 5/2-f), siempre que no se dañen los derechos y libertades fundamentales de los interesados; el Cliente documenta el juicio de ponderación. El mero carácter público del dato no basta por sí solo (límite del art. 5/2-d). El consentimiento explícito no se utiliza como base de la recopilación.

6.2. El tratamiento no incluye categorías especiales de datos (art. 6); las Partes son corresponsables de mantener esta situación.

6.3. El deber de información (art. 10) corresponde al Cliente. Para facilitarlo, cada correo saliente contiene (i) en nombre de quién se envía, (ii) la fuente/finalidad/base jurídica del dato, (iii) el canal de solicitud del art. 11 del KVKK y (iv) un enlace de baja (opt-out); LeaderMix inserta técnicamente estos elementos, siendo el Cliente responsable de la licitud del contenido.

6.4. Mensajes electrónicos comerciales (Ley 6563/İYS): si el destinatario es comerciante/autónomo, el consentimiento previo no es obligatorio, pero se garantiza el derecho de baja y se aplican las notificaciones de rechazo; el registro de los destinatarios en İYS, el control de rechazos y la prueba de la condición de comerciante/autónomo corresponden al Cliente en su condición de prestador de servicios. Si el destinatario no es comerciante/autónomo, la regla es el consentimiento previo (opt-in). El registro İYS, la gestión de consentimientos/rechazos y la anotación del rechazo en İYS dentro de tres días hábiles corresponden al Cliente; LeaderMix proporciona la infraestructura de opt-out.

Artículo 7 — Obligaciones del Encargado del tratamiento

• Tratamiento solo conforme a instrucciones; notifica sin demora al Cliente cualquier instrucción que considere ilícita.
• Confidencialidad; somete a todas las personas con acceso a compromisos escritos de confidencialidad (con carácter indefinido, incluso tras la terminación).
• Seguridad de los datos (art. 12) — aplica y mantiene actualizadas las medidas técnicas y organizativas del Anexo 3.
• En el uso de subencargados cumple el Artículo 10; les impone obligaciones al menos equivalentes.
• Apoyo a las solicitudes de los interesados (Artículo 12); remite sin demora al Cliente toda solicitud que le llegue directamente.
• Notificación de violaciones de datos — informa al Cliente en un plazo máximo de 24 horas desde que tenga conocimiento (Artículo 13).
• Destrucción/devolución al final de la relación — según el régimen del Artículo 14; no se formula ninguna promesa general de destrucción que contradiga el Artículo 14.
• Lleva registros a efectos de rendición de cuentas; notifica previamente al Cliente los cambios sustanciales de servidores/ubicaciones (Anexo 2/Anexo 3).

Artículo 8 — Obligaciones del Responsable del tratamiento

• Garantiza la concurrencia de una de las condiciones de los arts. 5/6 del KVKK para cada dato (Artículo 6).
• Cumple el deber de información del art. 10 frente a los interesados; responde del contenido del aviso.
• Cumple las obligaciones de la Ley 6563/İYS (registro de prestador, consentimiento/rechazo, prueba de comerciante-autónomo, transferencia İYS).
• Garantiza la licitud de las instrucciones que da a LeaderMix.
• Cumple, si está sujeto, su obligación VERBİS; resuelve por regla general en 30 días las solicitudes del art. 11 que reciba.

Artículo 9 — Medidas de seguridad técnicas y organizativas

LeaderMix adopta medidas proporcionadas a la naturaleza y el riesgo de los datos, conforme al art. 12 del KVKK y a la guía de la Autoridad (lista mínima en el Anexo 3). Las medidas se revisan periódicamente a la luz del desarrollo tecnológico y de la evaluación de riesgos. El Cliente es responsable de la seguridad de sus propias cuentas de acceso y de las listas que crea.

Artículo 10 — Subencargados

El Cliente otorga su consentimiento general al uso de los subencargados del Anexo 2. LeaderMix notifica con al menos 15 días de antelación cualquier subencargado nuevo/modificado; el Cliente puede oponerse por motivos razonables relacionados con la protección de datos y, de no resolverse, resolver el contrato respecto del servicio afectado. LeaderMix impone a cada subencargado obligaciones al menos equivalentes y sigue respondiendo ante el Cliente por sus actos. A los subencargados situados en el extranjero se les aplica el Artículo 11.

Artículo 11 — Transferencias internacionales (KVKK art. 9)

11.1. Las transferencias se rigen por el art. 9 del KVKK, modificado por la Ley n.º 7499 y en vigor desde el 01.06.2024, y por el Reglamento de 10.07.2024 (BO 32598).

11.2. Régimen escalonado: (a) decisión de adecuación; (b) garantías adecuadas (contrato tipo, BCR, compromiso + autorización del Consejo); (c) supuestos ocasionales — solo para transferencias no recurrentes; no aplicables a las transferencias sistemáticas de LeaderMix.

11.3. Dado que todos los subencargados del Anexo 2 están en el extranjero y las transferencias son continuas, el mecanismo principal es el Contrato tipo. LeaderMix establece el mecanismo aplicable del art. 9 con cada subencargado extranjero, notifica el Contrato tipo a la Autoridad dentro de los 5 días hábiles siguientes a su firma y aporta el justificante de notificación a petición.

11.4. A la fecha de este Acuerdo, el Consejo no ha emitido decisión de adecuación para ningún país; las transferencias se basan en garantías adecuadas. LeaderMix mantiene un inventario de transferencias; el Cliente lo utiliza para sus propias obligaciones de documentación. Toda transferencia para la que no pueda establecerse una garantía válida se suspende.

Artículo 12 — Derechos de los interesados (KVKK art. 11) y apoyo

Los interesados gozan de los derechos del art. 11 (conocer, información, finalidad, terceros, rectificación, supresión/destrucción del art. 7, notificación, oposición al análisis automatizado, indemnización). Resolver las solicitudes es obligación del Cliente; LeaderMix presta apoyo realizando las operaciones técnicas necesarias (acceso/rectificación/supresión/suspensión) en un plazo razonable y como máximo en 7 días; no responde en cuanto al fondo a las solicitudes que le lleguen directamente, sino que las remite sin demora al Cliente. Garantizar que el análisis con IA no produzca contra el interesado decisiones basadas exclusivamente en tratamiento automatizado es responsabilidad del Cliente.

Artículo 13 — Notificación de violaciones de datos (KVKK art. 12)

LeaderMix informa al Cliente en un plazo máximo de 24 horas desde que tenga conocimiento de una violación, indicando su naturaleza, las categorías de interesados/datos afectados, las posibles consecuencias y las medidas adoptadas. Este plazo tiene por objeto permitir al Cliente efectuar su propia notificación al Consejo (dentro de las 72 horas razonables conforme a la resolución n.º 2019/10). LeaderMix limita los efectos y presta pleno apoyo a la investigación; solo informa al público/terceros por instrucción escrita del Cliente.

Artículo 14 — Conservación y destrucción

14.1. Los datos están sujetos a los principios del art. 4 del KVKK (conservación limitada a la finalidad/proporcionada) y del art. 7 (supresión/destrucción/anonimización al cesar la finalidad).

14.3. Registro de bajas (opt-out): ante una solicitud de baja, el dato afectado se retira del tratamiento activo; los datos mínimos imprescindibles para probar el rechazo solo pueden conservarse con ese fin y por el plazo legal.

14.4. Regla al final de la relación / cierre de cuenta — destrucción: al terminar el Contrato principal o cerrarse/eliminarse la cuenta, (a) LeaderMix anonimiza la cuenta y el registro de usuario y cierra el acceso; (b) los registros de leads del Cliente y los datos de terceros vinculados, al haber cesado la finalidad del tratamiento, se destruyen o se anonimizan de forma irreversible (se devuelven si el Cliente lo solicita expresamente); no hay conservación indefinida con el argumento de que «podría llegar a necesitarse»; (c) aunque la misma persona sea tratada después por otro Cliente, los leads anteriores de la cuenta cerrada no se vinculan/restauran a la nueva cuenta; los registros huérfanos entran en el ámbito de destrucción/anonimización; (d) se facilita acta del tratamiento a petición.

14.5. Única excepción de conservación — registros de mensajes Ley 6563: la única excepción a la regla de destrucción son los registros de consentimiento/rechazo y envío relativos a los mensajes electrónicos comerciales de la Ley n.º 6563 y su Reglamento. Solo se conservan los registros cuya conservación exige la normativa (no se incluye la base bruta de leads en su conjunto — se destruye); el plazo de conservación se limita al legal (3 años desde la fecha del registro) y al vencer se destruyen automáticamente; el acceso es restringido y no pueden usarse para tratamiento activo/marketing; la obligación corresponde al Cliente como prestador de servicios, LeaderMix solo los almacena en su nombre.

14.6. Prohibición de reutilización: ningún dato conservado conforme al 14.5 puede ofrecerse a otro Cliente, usarse en una nueva campaña, tratarse para desarrollo de producto/fines independientes ni restaurarse como leads anteriores en una nueva suscripción. En caso contrario, LeaderMix pasa a ser responsable independiente respecto de esa actividad y debe establecer una base válida del art. 5 + facilitar la información.

14.7. Cuando se opte por la anonimización, se garantizará su irreversibilidad y que no permita la identificación ni siquiera cruzándola con otros datos.

Artículo 15 — Responsabilidad e indemnización

Cada Parte responde de los daños derivados del incumplimiento de sus obligaciones en proporción a su culpa. Si se prueba que una multa administrativa/indemnización deriva exclusivamente del incumplimiento de la otra Parte, la Parte pagadora tiene derecho de repetición contra la otra. LeaderMix solo responde del incumplimiento de las obligaciones propias del encargado o de actuar fuera de instrucciones lícitas; el Cliente responde de las instrucciones ilícitas y de las carencias de base jurídica/información/İYS. El límite máximo de responsabilidad se rige por los límites del Contrato principal; el dolo, la negligencia grave y las disposiciones imperativas del KVKK quedan excluidos de dicho límite.

Artículo 16 — Derecho de auditoría

El Cliente tiene derecho a auditar o hacer auditar el cumplimiento como máximo una vez al año y con un preaviso escrito de al menos 15 días (salvo auditorías adicionales razonables tras una violación de datos). LeaderMix puede satisfacer esta obligación con informes de medidas actualizados y, en su caso, certificados/informes de auditoría independientes. Las auditorías se realizan en horarios razonables, sin perturbar las actividades de LeaderMix ni vulnerar la confidencialidad de otros clientes; la información obtenida es confidencial.

Artículo 17 — Duración, resolución, ley aplicable y tribunal competente

Este Acuerdo permanece vigente durante la vigencia del Contrato principal y termina con él; las cláusulas que por su naturaleza deban sobrevivir (confidencialidad, destrucción/devolución, responsabilidad) siguen en vigor. Si un incumplimiento esencial no se subsana en 30 días pese al requerimiento escrito, la otra Parte puede resolver por causa justificada. El Acuerdo se rige por el derecho turco; en los litigios son competentes los Tribunales y Oficinas de Ejecución de Estambul (Anatolia). Las direcciones del Artículo 1/del registro de la cuenta son las direcciones de notificación; salvo notificación del cambio en 7 días, la notificación a la dirección antigua es válida. El Acuerdo, junto con sus anexos, constituye el acuerdo íntegro; la nulidad de una cláusula no afecta a las demás.

Anexo 1 — Tabla de detalle del tratamiento

Anexo 2 — Lista de subencargados y régimen de transferencias internacionales

Para todas las transferencias internacionales se establece el tipo de Contrato tipo adecuado según la dirección de la transferencia y se notifica a la Autoridad dentro de los 5 días hábiles siguientes a la firma.

Anexo 3 — Medidas de seguridad técnicas y organizativas

Organizativas: inventario de datos personales/registro de tratamientos; acuerdos de confidencialidad y formación de empleados; matriz de autorización de accesos (mínimo privilegio); acuerdos de protección de datos con subencargados; plan de respuesta a violaciones de datos; política de conservación y destrucción, destrucción periódica; análisis de riesgos.

Técnicas: cifrado en tránsito y en reposo (TLS/HTTPS; cifrado de campos sensibles); autenticación multifactor y política de contraseñas robustas; WAF (Cloudflare), limitación de velocidad, protección contra bots/vulnerabilidades; logs de acceso/sesión, monitorización/alertas; copias de seguridad regulares, cifradas y de acceso restringido; gestión de parches, pruebas de seguridad; bloqueo de acceso a archivos/directorios sensibles; almacenamiento seguro y rotación de claves API; enmascaramiento de PII en herramientas de errores/monitorización (Sentry) (before_send + send_default_pii=False).

Aceptación electrónica

Al marcar la casilla de aceptación correspondiente durante su registro en LeaderMix, el Cliente declara haber leído, comprendido y aceptado íntegramente este Acuerdo de tratamiento de datos. La fecha de aceptación, la versión del acuerdo y la dirección IP quedan registradas por LeaderMix con fines probatorios. A los Clientes corporativos que soliciten un ejemplar firmado por separado (manuscrito/electrónico) se les puede facilitar una copia firmable.