Anexo de tratamiento de datos

Última actualización: 5 de noviembre de 2026

1. Acerca de este anexo

Este Anexo de tratamiento de datos (el “DPA”) forma parte de los Términos del servicio celebrados entre usted, el anfitrión que utiliza InviteTous (“usted” o el “Cliente”), y Spacode, una empresa unipersonal israelí, Comerciante Autorizado (Authorized Dealer) n.º 205674500, Isser Harel 1, Or Akiva, Israel (“nosotros”).

Se aplica automáticamente, sin necesidad de firma, siempre que usted utilice InviteTous para subir o gestionar datos personales de otras personas, como sus invitados.

Este DPA contiene las condiciones aplicables al encargado del tratamiento que exige el artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD) y del RGPD del Reino Unido, las condiciones aplicables al proveedor de servicios que exige la Ley de Privacidad del Consumidor de California (CCPA), las condiciones aplicables al encargado conforme a otras leyes estatales de privacidad de EE. UU., y las obligaciones del encargado conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México (LFPDPPP).

Si este DPA contradice los Términos del servicio, este DPA prevalece en materia de protección de datos. Si se aplican las Cláusulas Contractuales Tipo y contradicen este DPA, prevalecen las Cláusulas Contractuales Tipo.

2. Definiciones

“Datos Personales del Cliente”: los datos personales de sus invitados y coanfitriones que usted o sus coanfitriones suben a InviteTous o recopilan a través de él, incluidas las respuestas de confirmación de asistencia (RSVP) de los invitados.
“Leyes de Protección de Datos”: todas las leyes de privacidad y protección de datos aplicables al tratamiento de los Datos Personales del Cliente, entre ellas el RGPD, el RGPD del Reino Unido, la CCPA y otras leyes estatales de privacidad de EE. UU., la LFPDPPP y la Ley de Protección de la Privacidad de Israel, 5741-1981.
“Subencargado”: un tercero al que encargamos el tratamiento de Datos Personales del Cliente.
“Incidente de Seguridad”: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a dichos datos.
“Cláusulas Contractuales Tipo” o “CCT”: las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.
Los demás términos, como “responsable del tratamiento”, “encargado del tratamiento”, “interesado”, “datos personales” y “tratamiento”, tienen el significado que les da el RGPD; “proveedor de servicios” (service provider), “vender” (sell) y “compartir” (share) tienen el significado que les da la CCPA; y “responsable” y “encargado” tienen el significado que les da la LFPDPPP.

3. Funciones de las partes

Respecto de los Datos Personales del Cliente, usted es el responsable del tratamiento y nosotros somos su encargado del tratamiento. Usted también es responsable de los coanfitriones con quienes comparte un evento.

Si usted actúa por cuenta de otra persona, por ejemplo como organizador de eventos que prepara el evento de un cliente, usted confirma que su cliente le ha autorizado a usar InviteTous, y nosotros actuamos como su subencargado.

Si usted utiliza InviteTous únicamente para una actividad personal o doméstica, como organizar su propia celebración familiar, es posible que algunas Leyes de Protección de Datos no le sean aplicables como responsable. Aun así, tratamos los Datos Personales del Cliente conforme a este DPA.

Nosotros somos el responsable de los datos personales de su propia cuenta, como los datos de su cuenta y sus registros de pago. Ese tratamiento se rige por nuestra Política de privacidad.

4. Detalles del tratamiento

Objeto: la prestación de InviteTous a usted.
Duración: mientras exista su cuenta, más el plazo de eliminación previsto en la sección 12.
Naturaleza y finalidad: almacenar y organizar listas de invitados; enviar invitaciones, recordatorios y otros mensajes por WhatsApp (a través de la API de WhatsApp Business Cloud de Meta), mediante enlace o por correo electrónico; recopilar confirmaciones de asistencia; elaborar planes de mesas; y realizar tratamientos con funciones de IA; en todos los casos, siguiendo sus instrucciones.
Interesados: sus invitados y coanfitriones.
Categorías de datos personales: nombres, números de teléfono, direcciones de correo electrónico, etiquetas de grupo, estado de confirmación de asistencia, número de asistentes, notas alimentarias, asignaciones de asiento o mesa, y contenido, estado de entrega y respuestas de los mensajes.
Categorías especiales de datos: las notas alimentarias pueden revelar información sobre la salud o la religión. Limítelas al mínimo necesario para el evento (consulte la sección 15).
Frecuencia: continua, mientras usted utilice InviteTous.

5. Tratamiento conforme a sus instrucciones

Tratamos los Datos Personales del Cliente únicamente siguiendo sus instrucciones documentadas, salvo que la ley nos obligue a hacer otra cosa. En ese caso, le informaremos de esa exigencia legal antes del tratamiento, salvo que la ley nos lo prohíba.

Sus instrucciones documentadas son los Términos del servicio, este DPA y las acciones que usted realiza y las configuraciones que elige en InviteTous, como añadir invitados, enviar invitaciones o usar una función de IA. Cualquier instrucción adicional debe ser coherente con ellas y acordarse con nosotros por escrito.

Le informaremos de inmediato si, en nuestra opinión, una instrucción infringe las Leyes de Protección de Datos.

No usamos los Datos Personales del Cliente para fines propios ni para entrenar nuestros propios modelos de IA.

6. Confidencialidad

Garantizamos que todas las personas que autorizamos a tratar Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada, y que acceden a esos datos solo en la medida necesaria para prestar InviteTous.

7. Medidas de seguridad

Teniendo en cuenta la naturaleza del tratamiento y los riesgos para los interesados, mantenemos medidas técnicas y organizativas para proteger los Datos Personales del Cliente, entre ellas:

cifrado de los datos en tránsito mediante TLS;
controles de acceso, con un acceso del personal limitado a lo que cada persona necesita (principio de mínimo privilegio);
códigos de un solo uso y tokens protegidos mediante hash y de corta duración; y
protección antibots en el inicio de sesión.

Podemos actualizar estas medidas con el tiempo, siempre que el nivel general de seguridad no disminuya.

8. Subencargados

Usted nos otorga una autorización general para recurrir a subencargados. Nuestros subencargados actuales son:

Hyp: procesamiento de pagos. Ubicación: Israel.
Google Cloud: alojamiento e infraestructura. Ubicación: Israel.
Google LLC: modelos de IA Gemini, Google Places para la búsqueda de proveedores, inicio de sesión con Google (Google Sign-In), Gmail para el envío de correos electrónicos y Google Fonts en nuestro sitio web comercial. Ubicación: Estados Unidos.
Anthropic: modelos de IA. Ubicación: Estados Unidos.
OpenAI: modelos de IA. Ubicación: Estados Unidos.
Meta Platforms: mensajería de WhatsApp Business (API de Cloud). Ubicación: Estados Unidos.
Cloudflare: protección antibots Turnstile. Ubicación: Estados Unidos.
MongoDB, Inc.: alojamiento de la base de datos (MongoDB Atlas en Google Cloud). Ubicación: Israel.

Los subencargados también pueden tratar datos en otros países donde operan. Nuestra caché (Redis) funciona en nuestra propia infraestructura en la nube.

Vinculamos a cada subencargado mediante un contrato escrito que le impone obligaciones de protección de datos sustancialmente iguales a las de este DPA, y seguimos siendo plenamente responsables ante usted de su cumplimiento.

Cambios. Anunciaremos cualquier subencargado nuevo o sustituto actualizando la lista de esta página y escribiendo a la dirección de correo de su cuenta al menos 30 días antes de que comience a tratar Datos Personales del Cliente. Usted puede oponerse por motivos razonables de protección de datos escribiendo a ben@spacode.co.il dentro de esos 30 días. Si se opone, colaboraremos con usted de buena fe para resolver su inquietud. Si no es posible, usted puede dejar de usar la función afectada o eliminar su cuenta.

9. Solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, le ayudamos, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados que ejerzan sus derechos. Usted puede atender la mayoría de las solicitudes directamente en InviteTous, por ejemplo editando o eliminando a un invitado.

Si un invitado u otro interesado se pone en contacto directamente con nosotros en relación con Datos Personales del Cliente, le remitiremos la solicitud sin dilación indebida y le ayudaremos a responderla. No responderemos nosotros mismos a la solicitud, salvo para confirmar que se la hemos remitido, a menos que usted nos lo indique o la ley lo exija.

10. Evaluaciones de impacto y consultas

Teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos, le prestamos una ayuda razonable para que cumpla sus obligaciones en materia de seguridad, evaluaciones de impacto relativas a la protección de datos y consultas previas a las autoridades de control.

11. Incidentes de seguridad

Le notificaremos sin dilación indebida, y en todo caso en un plazo de 72 horas, desde que tengamos conocimiento de un Incidente de Seguridad. Enviaremos la notificación a la dirección de correo electrónico de su cuenta.

Nuestra notificación describirá, en la medida en que se disponga de la información: la naturaleza del incidente, incluidas las categorías y el número aproximado de interesados y de registros afectados; sus consecuencias probables; las medidas que hemos adoptado o proponemos adoptar para ponerle remedio y mitigar sus efectos; y un punto de contacto para obtener más información. Si no podemos facilitar toda esta información a la vez, la facilitaremos de forma gradual a medida que esté disponible.

Adoptaremos medidas razonables para contener e investigar el incidente, y le ayudaremos a cumplir sus propias obligaciones de notificación a las autoridades de control y a los interesados.

12. Eliminación y devolución de los datos

Los Datos Personales del Cliente se eliminan junto con el evento o la cuenta a los que pertenecen, o antes si usted lo solicita.

Cuando usted elimina su cuenta, eliminamos los Datos Personales del Cliente de nuestros sistemas activos en un plazo de 30 días, y las copias en nuestros respaldos se sobrescriben en un plazo adicional de 30 días.

Antes de eliminar su cuenta, puede pedirnos, escribiendo a ben@spacode.co.il, que le devolvamos una copia de los Datos Personales del Cliente en un formato electrónico de uso común.

Solo conservamos los Datos Personales del Cliente durante más tiempo cuando la ley lo exige, y este DPA sigue protegiéndolos mientras los conservemos.

13. Auditorías e información

Previa solicitud, pondremos a su disposición toda la información necesaria para demostrar que cumplimos este DPA y el artículo 28 del RGPD, como respuestas a cuestionarios de seguridad razonables y descripciones de nuestras medidas de seguridad y de nuestros subencargados.

Si esa información no basta para demostrar nuestro cumplimiento, o si una autoridad de control lo exige, permitiremos y contribuiremos a la realización de una auditoría, incluida una inspección, por parte de usted o de un auditor independiente designado por usted, con un preaviso razonable y sujeta a las obligaciones de confidencialidad adecuadas.

14. Transferencias internacionales

Tenemos nuestra sede en Israel, país que la Comisión Europea y el Reino Unido reconocen como poseedor de un nivel adecuado de protección de datos. Algunos subencargados tratan Datos Personales del Cliente en Estados Unidos y en otros países.

Cuando las Leyes de Protección de Datos exijan un mecanismo de transferencia para una transferencia entre usted y nosotros, las CCT se incorporan a este DPA por referencia: se aplica el Módulo dos (de responsable a encargado) cuando usted es responsable del tratamiento, y el Módulo tres (de encargado a encargado) cuando usted actúa como encargado de otro responsable. A efectos de las CCT:

la cláusula 7 (cláusula de incorporación) no se aplica;
en la cláusula 9 se aplica la opción 2 (autorización general por escrito), con el plazo de preaviso de 30 días previsto en la sección 8;
la redacción opcional de la cláusula 11 no se aplica;
la autoridad de control competente se determina conforme a la cláusula 13;
en la cláusula 17 se aplica la opción 1 y las CCT se rigen por el Derecho de España;
en la cláusula 18, los litigios se resuelven ante los órganos jurisdiccionales de España; y
el anexo I se completa con las secciones 1 y 4 de este DPA, el anexo II con la sección 7 y el anexo III con la sección 8.

Para los Datos Personales del Cliente sujetos al RGPD del Reino Unido, también se incorpora por referencia la Adenda de Transferencia Internacional de Datos a las CCT emitida por el Comisionado de Información del Reino Unido (Information Commissioner), con las CCT completadas según lo indicado anteriormente.

Solo transferimos Datos Personales del Cliente a subencargados situados fuera del Espacio Económico Europeo y del Reino Unido con un mecanismo de transferencia válido, como una decisión de adecuación, las CCT o, si el subencargado está certificado, el Marco de Privacidad de Datos UE-EE. UU.

15. Sus obligaciones como responsable

Como responsable del tratamiento, a usted le corresponde:

contar con una base legal para subir Datos Personales del Cliente a InviteTous y para contactar a sus invitados;
informar a sus invitados y coanfitriones sobre cómo se usarán sus datos, incluido el hecho de que usted utiliza InviteTous para gestionar su evento;
obtener el consentimiento de sus invitados para contactarlos por WhatsApp cuando lo exijan la ley o las políticas de WhatsApp;
asegurarse de que los Datos Personales del Cliente sean exactos y estén actualizados;
no subir categorías especiales de datos, como información sobre la salud o la religión, salvo que sean necesarias para el evento, y limitar las notas alimentarias al mínimo necesario;
añadir invitados menores de edad solo cuando tenga derecho a hacerlo, y únicamente con la información necesaria para el evento; y
asegurarse de que sus instrucciones cumplan las Leyes de Protección de Datos.

16. Leyes estatales de privacidad de EE. UU.

Cuando se aplique la CCPA, actuamos como su proveedor de servicios respecto de los Datos Personales del Cliente y los tratamos únicamente para el fin comercial de prestarle InviteTous. No:

venderemos ni compartiremos los Datos Personales del Cliente;
los conservaremos, usaremos ni divulgaremos para ningún fin distinto de prestarle InviteTous, incluido cualquier otro fin comercial, ni fuera de nuestra relación comercial directa con usted; ni
los combinaremos con información personal que recibamos de otras personas o por cuenta de ellas, o que recopilemos en nuestras propias interacciones con consumidores, salvo en la medida en que lo permita la CCPA.

Cumpliremos las obligaciones que nos impone la CCPA, ofreceremos el mismo nivel de protección de la privacidad que exige la CCPA y le notificaremos si determinamos que ya no podemos cumplir estas obligaciones. Usted puede adoptar medidas razonables y apropiadas para asegurarse de que usamos los Datos Personales del Cliente de forma coherente con sus obligaciones conforme a la CCPA, y para detener y remediar cualquier uso no autorizado. Certificamos que comprendemos estas restricciones y que las cumpliremos.

Los mismos compromisos se aplican, como condiciones del encargado, conforme a otras leyes estatales de privacidad de EE. UU., como las de Virginia, Colorado, Connecticut, Utah, Texas y Oregón.

17. México

Cuando se aplique la LFPDPPP, usted es el responsable y nosotros somos su encargado. Nos comprometemos a:

tratar los Datos Personales del Cliente únicamente conforme a sus instrucciones y no para fines propios;
guardar confidencialidad respecto de ellos y protegerlos con las medidas de seguridad de la sección 7;
no transferirlos, salvo a subencargados conforme a la sección 8 o cuando la ley lo exija; y
eliminarlos cuando termine nuestra relación, conforme a la sección 12, salvo que la ley nos obligue a conservarlos.

18. Responsabilidad

La responsabilidad de cada parte derivada de este DPA o relacionada con él está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos del servicio. Esto no limita los derechos que las Leyes de Protección de Datos o las CCT otorgan a los interesados.

19. Duración y cambios

Este DPA se aplica mientras tratemos Datos Personales del Cliente por cuenta de usted, y sigue aplicándose hasta que esos datos se hayan eliminado o devuelto.

Podemos actualizar este DPA para reflejar cambios en la ley o en InviteTous. Publicaremos la versión actualizada en esta página y actualizaremos la fecha de “última actualización”; si el cambio es importante, también se lo notificaremos por correo electrónico o en la aplicación. Los cambios de subencargados siguen el procedimiento de la sección 8.

20. Contacto

Envíe a ben@spacode.co.il sus preguntas sobre este DPA, sus objeciones a subencargados y sus solicitudes de información.