Contrato de encargo del tratamiento (art. 28 RGPD)
Versión vigente: 11.10.2026. La versión en español es la única vinculante; las versiones en alemán e inglés son traducciones de cortesía.
Partes
Responsable del tratamiento («Responsable»): la empresa cliente que contrata OPTIMaiZEx conforme a las Condiciones Generales.
Encargado del tratamiento («Encargado»): Noah Lang, persona física que actúa bajo el nombre comercial «The Optimizer», NIF/NIE [EINTRAGEN: NIF/NIE von Noah Lang], Av. Neptuno 59, 46137 La Pobla de Farnals (Valencia), España, support@optimaizex.com. Tras su inscripción, The Optimizer S.L. sucede al Encargado (cláusula 21 de las Condiciones Generales).
Este contrato se celebra conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y forma parte de las Condiciones Generales. Se acepta junto con ellas y tiene la misma vigencia.
1. Objeto, duración, naturaleza y finalidad
El Encargado trata datos personales por cuenta del Responsable para prestar OPTIMaiZEx. El objeto, la naturaleza, la finalidad, las categorías de datos y de interesados se describen en el anexo 1. El contrato dura lo mismo que el contrato principal y, después, hasta la devolución y supresión completas.
2. Instrucciones
2.1. El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal; en ese caso informa al Responsable antes del tratamiento, salvo prohibición legal (art. 28.3.a RGPD).
2.2. Son instrucciones documentadas este contrato, las Condiciones Generales y la configuración que el Responsable realiza en OPTIMaiZEx (por ejemplo, reglas de clasificación, eliminación de spam, límites de ejecuciones de IA, conexión de buzones y sistemas).
2.3. El Encargado elimina correos o datos solo por instrucción del Responsable. El Responsable decide sobre los plazos de conservación y responde de que sus instrucciones respeten las obligaciones legales de conservación.
2.4. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunica de inmediato al Responsable (art. 28.3 último párrafo RGPD).
3. Confidencialidad
El Encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b RGPD), también tras finalizar su relación.
4. Seguridad
El Encargado aplica las medidas técnicas y organizativas del anexo 2 (art. 32 RGPD) y las adapta al estado de la técnica. Puede sustituirlas por otras equivalentes o superiores; no puede reducir el nivel de protección.
5. Subencargados
5.1. El Responsable otorga una autorización general para recurrir a los subencargados de https://optimaizex.com/legal/subencargados.html.
5.2. El Encargado informa al Responsable por correo electrónico de cualquier incorporación o sustitución con al menos 30 días de antelación. El Responsable puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no encuentran una solución, el Responsable puede resolver el contrato sin coste en la fecha del cambio.
5.3. El Encargado impone a cada subencargado por contrato las mismas obligaciones de protección de datos (art. 28.4 RGPD) y responde frente al Responsable de su cumplimiento.
6. Transferencias internacionales
Las transferencias a terceros países solo tienen lugar si se cumplen los artículos 44 a 49 RGPD: decisión de adecuación (incluido el Marco de Privacidad de Datos UE‑EE. UU. para destinatarios certificados) y, como garantía adicional, cláusulas contractuales tipo (Decisión (UE) 2021/914) con evaluación del impacto de la transferencia. La lista indica la garantía de cada subencargado.
7. Asistencia al Responsable
7.1. El Encargado asiste al Responsable con medidas técnicas y organizativas apropiadas para responder a las solicitudes de ejercicio de derechos (art. 28.3.e RGPD). Si un interesado se dirige al Encargado, este reenvía la solicitud al Responsable sin dilación y no responde por su cuenta salvo instrucción.
7.2. El Encargado asiste al Responsable en las obligaciones de los artículos 32 a 36 RGPD (seguridad, notificación de violaciones, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible. Un modelo de evaluación de impacto está disponible en https://template.optimaizex.com/dox/rahmen/recht/muster-dsfa.html.
8. Violaciones de seguridad
8.1. El Encargado notifica al Responsable toda violación de la seguridad de los datos personales sin dilación indebida y a más tardar en 24 horas desde que tenga conocimiento de ella (art. 33.2 RGPD).
8.2. La notificación incluye, en la medida disponible: naturaleza de la violación, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información pendiente se facilita de forma escalonada.
8.3. El Encargado documenta toda violación y apoya al Responsable para que pueda cumplir el plazo de 72 horas frente a la autoridad de control.
9. Registro de actividades
El Encargado lleva un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD).
10. Supresión y devolución
Al terminar la prestación, el Encargado, a elección del Responsable, devuelve los datos mediante exportación en formatos de lectura mecánica y los suprime, salvo obligación legal de conservación (art. 28.3.g RGPD). La supresión se realiza a más tardar 30 días después del fin del plazo de exportación; las copias de seguridad se sobrescriben en el ciclo de rotación del anexo 2. El Encargado certifica la supresión por escrito a petición del Responsable.
11. Auditorías
11.1. El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento y permite y contribuye a auditorías, incluidas inspecciones (art. 28.3.h RGPD).
11.2. El Responsable comunica la auditoría con 30 días de antelación, salvo violación de seguridad, la realiza en horario laboral sin poner en riesgo los datos de otros Mandantes y asume sus costes. El auditor externo se compromete a la confidencialidad. En primer lugar se recurre a documentación escrita; una inspección presencial cabe una vez al año o tras una violación.
12. Red de aprendizaje y uso propio
El Responsable instruye al Encargado para derivar de sus buzones únicamente los dominios de remitentes masivos clasificados como publicidad o spam y compartirlos en la red de aprendizaje de OPTIMaiZEx, sin contenidos, sin datos de personas y sin el nombre del Responsable. El Responsable puede revocar esta instrucción en la configuración o por correo electrónico. Más allá de esto, el Encargado no utiliza los datos para fines propios ni para entrenar modelos.
13. Responsabilidad
Rige el artículo 82 RGPD. En lo demás se aplica la cláusula 17 de las Condiciones Generales, salvo en lo que el artículo 82 RGPD no permita limitar.
14. Ley aplicable y jurisdicción
Rige la ley española. Son competentes los Juzgados y Tribunales de Valencia (España). Para Responsables establecidos en Colombia rige además el anexo 3.
Anexo 1. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| --- | --- |
| Objeto | Prestación de la plataforma OPTIMaiZEx (organización de buzones, Xannel, CRM, preparación de borradores, investigación de mercado, portal de socios y tienda B2B) |
| Naturaleza | Alojamiento, lectura por IMAP, clasificación por reglas, marcado y traslado, supresión por instrucción, análisis y generación de texto mediante IA, almacenamiento, consulta, exportación |
| Finalidad | Que el Responsable gestione su comunicación comercial, sus contactos y sus tareas de forma eficiente; nada sale al exterior sin aprobación de una persona |
| Categorías de interesados | Empleados y Usuarios del Responsable; clientes, posibles clientes, proveedores, socios comerciales y sus personas de contacto; remitentes y destinatarios de correos y mensajes; personas mencionadas en documentos |
| Categorías de datos | Datos de identificación y contacto profesionales; contenido de correos, mensajes y adjuntos; metadatos de comunicaciones (remitente, destinatario, fecha, asunto); datos comerciales (consultas, ofertas, pedidos, valoraciones de valor esperado); datos de acceso y registros de acciones; resultados de investigación de mercado sobre empresas |
| Categorías especiales | No previstas. Pueden aparecer de forma incidental en correos; el Responsable decide su tratamiento |
| Duración | Duración del contrato principal más el plazo de exportación y supresión |
| Lugar | Servidor de IONOS en España; procesamiento de IA en Estados Unidos según anexo de subencargados |
Anexo 2. Medidas técnicas y organizativas (art. 32 RGPD)
| Ámbito | Medida |
|---|---|
| --- | --- |
| Ubicación y proveedor | Servidor dedicado de IONOS en un centro de datos en España, con controles físicos de acceso del centro de datos |
| Separación de Mandantes | Base de datos propia por Mandante; usuario de sistema propio por Mandante; cada servicio de Mandante se ejecuta como servicio aislado (systemd) con permisos de archivo limitados a su propio directorio |
| Cifrado en tránsito | HTTPS con TLS para todos los accesos; HSTS activado; conexiones IMAP con TLS |
| Cifrado de credenciales | Contraseñas de usuario almacenadas solo como hash scrypt; secretos de acceso cifrados con AES‑256‑GCM, [EINTRAGEN: bestätigen, dass alle gespeicherten Postfach- und API-Zugangsdaten AES-256-GCM-verschlüsselt sind] |
| Cifrado en reposo | [EINTRAGEN: Festplattenverschlüsselung des Servers ja/nein laut IONOS-Produkt] |
| Autenticación y sesión | Inicio de sesión personal; cookie de sesión «ht» HttpOnly y Secure, 30 días; roles y permisos por Mandante; accesos de invitado limitados |
| Red | Cortafuegos activo con política restrictiva (ufw); bloqueo automático de intentos de acceso abusivos (fail2ban); cabeceras de seguridad (nosniff, política de referencia) |
| Administración | Acceso administrativo solo por Noah Lang; acceso al servidor por SSH solo con clave criptográfica; el acceso por contraseña está desactivado |
| Control humano | Ningún envío sin aprobación; reversión de aprobaciones durante 24 horas; sistemas de terceros solo en lectura |
| Registro | Registro de cada acción automática con fecha, hora y regla; registros del servidor web conservados 14 días; registro del sistema limitado a 500 MB |
| Disponibilidad y copias | Copia de seguridad automática diaria a la 01:00 con conservación de siete versiones; control de versiones diario del código; [EINTRAGEN: Sicherungsumfang je Mandantendatenbank und externer Sicherungsort] |
| IA | Envío a modelos de IA solo de los datos necesarios para la tarea; proveedores con condiciones de pago que excluyen el entrenamiento; límites de ejecuciones por mes configurables |
| Red de aprendizaje | Solo dominios de remitentes masivos; sin contenidos, personas ni nombres de Mandantes |
| Organización | Compromiso de confidencialidad de todas las personas con acceso; procedimiento de violaciones de seguridad con notificación en 24 horas al Responsable; revisión de estas medidas al menos cada seis meses y tras cada incidente |
Anexo 3. Cláusula de transmisión para Responsables en Colombia
Esta cláusula se aplica cuando el Responsable está domiciliado en Colombia (por ejemplo, Valmar Export Group C.I. S.A.S., NIT 830003553, que opera la marca Heliotropica) y constituye el contrato de transmisión de datos personales previsto en el artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), en desarrollo de la Ley Estatutaria 1581 de 2012.
- Alcance. El Encargado trata los datos personales por cuenta del Responsable solo para las finalidades del anexo 1 y conforme a la Política de Tratamiento de la Información del Responsable.
- Obligaciones del Encargado (art. 18 Ley 1581 de 2012). Garantizar al titular el ejercicio del derecho de hábeas data; conservar la información con las medidas de seguridad del anexo 2 para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado; actualizar, rectificar o suprimir los datos cuando el Responsable lo indique; tramitar las consultas y reclamos que reciba trasladándolos al Responsable en un plazo máximo de dos días hábiles; abstenerse de circular información controvertida o bloqueada; informar al Responsable de violaciones de los códigos de seguridad o riesgos en la administración de la información en un plazo máximo de 24 horas.
- Plazos de respuesta. El Responsable atiende las consultas en un máximo de diez días hábiles y los reclamos en un máximo de quince días hábiles (art. 14 y 15 Ley 1581 de 2012); el Encargado le presta la asistencia necesaria.
- Confidencialidad. El Encargado y su personal guardan reserva de los datos incluso después de terminar la relación.
- Subencargados. Rige la cláusula 5 de este contrato.
- Autorización de los titulares. El Responsable garantiza que cuenta con la autorización previa, expresa e informada de los titulares cuando la ley la exige y que su Política de Tratamiento contempla la transmisión a encargados ubicados fuera de Colombia.
- Nivel adecuado. España, como Estado miembro de la Unión Europea, ofrece un nivel adecuado de protección según la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017).
- Secretos empresariales. Las partes protegen la información comercial reservada del Responsable.
- Terminación. Al terminar, rige la cláusula 10 de este contrato.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Stand: 11.10.2026. Verbindlich ist allein die spanische Fassung; die deutsche und die englische Fassung sind Übersetzungen.
Parteien
Verantwortlicher: das Kundenunternehmen, das OPTIMaiZEx nach den AGB nutzt.
Auftragsverarbeiter: Noah Lang, natürliche Person, handelnd unter dem Handelsnamen „The Optimizer“, NIF/NIE [EINTRAGEN: NIF/NIE von Noah Lang], Av. Neptuno 59, 46137 La Pobla de Farnals (Valencia), Spanien, support@optimaizex.com. Nach Eintragung tritt die The Optimizer S.L. an seine Stelle (Ziffer 21 der AGB).
Dieser Vertrag folgt Art. 28 DSGVO, ist Teil der AGB, wird mit ihnen angenommen und gilt ebenso lange.
1. Gegenstand, Dauer, Art und Zweck
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um OPTIMaiZEx bereitzustellen. Einzelheiten stehen in Anlage 1. Der Vertrag läuft so lange wie der Hauptvertrag und danach bis zur vollständigen Rückgabe und Löschung.
2. Weisungen
2.1. Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen, es sei denn, das Gesetz verpflichtet ihn; dann teilt er dies vorher mit, soweit zulässig (Art. 28 Abs. 3 lit. a DSGVO).
2.2. Dokumentierte Weisungen sind dieser Vertrag, die AGB und die Einstellungen des Verantwortlichen in OPTIMaiZEx (Ordnungsregeln, Spam-Löschung, KI-Laufgrenzen, Anbindung von Postfächern und Systemen).
2.3. Der Auftragsverarbeiter löscht E-Mails oder Daten nur auf Weisung. Der Verantwortliche bestimmt die Aufbewahrungsfristen und steht dafür ein, dass seine Weisungen gesetzlichen Aufbewahrungspflichten entsprechen.
2.4. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen unverzüglich darauf hin.
3. Vertraulichkeit
Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO), auch nach Ende ihrer Tätigkeit.
4. Sicherheit
Der Auftragsverarbeiter setzt die Maßnahmen aus Anlage 2 um (Art. 32 DSGVO) und hält sie auf dem Stand der Technik. Er darf sie durch gleichwertige oder bessere ersetzen, das Schutzniveau aber nie senken.
5. Unterauftragsverarbeiter
5.1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die unter https://optimaizex.com/legal/subencargados.html genannten Unterauftragsverarbeiter.
5.2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen. Findet sich keine Lösung, kann er kostenfrei zum Änderungstermin kündigen.
5.3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und haftet für dessen Einhaltung.
6. Drittlandübermittlung
Übermittlungen in Drittländer erfolgen nur nach Art. 44 bis 49 DSGVO: Angemessenheitsbeschluss (einschließlich EU-US Data Privacy Framework für zertifizierte Empfänger) und zusätzlich Standardvertragsklauseln (Beschluss (EU) 2021/914) mit Transfer-Folgenabschätzung.
7. Unterstützung
7.1. Der Auftragsverarbeiter unterstützt bei Betroffenenanfragen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person an ihn, leitet er die Anfrage unverzüglich weiter und antwortet nicht selbst, sofern nicht angewiesen.
7.2. Er unterstützt bei den Pflichten aus Art. 32 bis 36 DSGVO. Ein Muster für eine Datenschutz-Folgenabschätzung liegt unter https://template.optimaizex.com/dox/rahmen/recht/muster-dsfa.html.
8. Datenschutzverletzungen
8.1. Der Auftragsverarbeiter meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO).
8.2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Ansprechpartner. Fehlendes wird schrittweise nachgereicht.
8.3. Er dokumentiert jede Verletzung und unterstützt den Verantwortlichen bei der 72-Stunden-Frist gegenüber der Aufsichtsbehörde.
9. Verzeichnis
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).
10. Löschung und Rückgabe
Nach Ende der Leistung gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen per maschinenlesbarem Export zurück und löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung erfolgt spätestens 30 Tage nach Ende der Exportfrist; Sicherungen werden im Rotationszyklus nach Anlage 2 überschrieben. Auf Verlangen bestätigt er die Löschung schriftlich.
11. Kontrollen
11.1. Der Auftragsverarbeiter stellt alle Informationen zum Nachweis bereit und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
11.2. Der Verantwortliche kündigt Prüfungen 30 Tage vorher an, außer nach einer Datenschutzverletzung, prüft zu Geschäftszeiten, ohne Daten anderer Mandanten zu gefährden, und trägt die Kosten. Externe Prüfer verpflichten sich zur Vertraulichkeit. Vorrangig genügen schriftliche Nachweise; eine Vor-Ort-Prüfung ist einmal jährlich oder nach einer Verletzung möglich.
12. Lernnetz und Eigennutzung
Der Verantwortliche weist den Auftragsverarbeiter an, aus seinen Postfächern ausschließlich Domains von Massenabsendern der Art Werbung oder Spam abzuleiten und im Lernnetz von OPTIMaiZEx zu teilen, ohne Inhalte, ohne Personendaten und ohne Namen des Verantwortlichen. Er kann diese Weisung in den Einstellungen oder per E-Mail widerrufen. Darüber hinaus nutzt der Auftragsverarbeiter die Daten nicht für eigene Zwecke und nicht zum Training von Modellen.
13. Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gilt Ziffer 17 der AGB, soweit Art. 82 DSGVO keine Beschränkung ausschließt.
14. Recht und Gerichtsstand
Es gilt spanisches Recht. Gerichtsstand ist Valencia (Spanien). Für Verantwortliche mit Sitz in Kolumbien gilt zusätzlich Anlage 3.
Anlage 1. Beschreibung der Verarbeitung
| Element | Beschreibung |
|---|---|
| --- | --- |
| Gegenstand | Bereitstellung von OPTIMaiZEx (Postfachordnung, Xannel, CRM, Entwürfe, Marktrecherche, Partnerportal und B2B-Shop) |
| Art | Hosting, IMAP-Lesen, regelbasiertes Ordnen, Markieren und Verschieben, Löschen auf Weisung, KI-Analyse und Textentwurf, Speichern, Abfragen, Export |
| Zweck | Effiziente Bearbeitung von Geschäftskommunikation, Kontakten und Aufgaben des Verantwortlichen; nichts geht ohne menschliche Freigabe nach außen |
| Betroffene | Beschäftigte und Nutzer des Verantwortlichen; Kunden, Interessenten, Lieferanten, Geschäftspartner und deren Ansprechpartner; Absender und Empfänger von E-Mails und Nachrichten; in Dokumenten genannte Personen |
| Datenarten | Berufliche Identifikations- und Kontaktdaten; Inhalte von E-Mails, Nachrichten und Anhängen; Kommunikationsmetadaten (Absender, Empfänger, Datum, Betreff); Geschäftsdaten (Anfragen, Angebote, Aufträge, Wertbewertungen); Zugangsdaten und Aktionsprotokolle; Marktrechercheergebnisse zu Firmen |
| Besondere Kategorien | Nicht vorgesehen. Können beiläufig in E-Mails vorkommen; der Verantwortliche entscheidet über ihre Verarbeitung |
| Dauer | Laufzeit des Hauptvertrags zuzüglich Export- und Löschfrist |
| Ort | IONOS-Server in Spanien; KI-Verarbeitung in den USA nach Liste der Unterauftragsverarbeiter |
Anlage 2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| --- | --- |
| Standort und Anbieter | Server von IONOS in einem Rechenzentrum in Spanien, mit physischer Zutrittskontrolle des Rechenzentrums |
| Mandantentrennung | Eigene Datenbank je Mandant; eigener Systembenutzer je Mandant; jeder Mandantendienst läuft als abgeschotteter Dienst (systemd) mit Dateirechten nur auf das eigene Verzeichnis |
| Verschlüsselung beim Transport | HTTPS mit TLS für alle Zugriffe; HSTS aktiv; IMAP-Verbindungen mit TLS |
| Schutz von Zugangsdaten | Kennwörter nur als scrypt-Hashwert; Zugangsgeheimnisse mit AES-256-GCM verschlüsselt, [EINTRAGEN: bestätigen, dass alle gespeicherten Postfach- und API-Zugangsdaten AES-256-GCM-verschlüsselt sind] |
| Verschlüsselung im Ruhezustand | [EINTRAGEN: Festplattenverschlüsselung des Servers ja/nein laut IONOS-Produkt] |
| Anmeldung und Sitzung | Persönliche Anmeldung; Sitzungscookie „ht“ HttpOnly und Secure, 30 Tage; Rollen und Rechte je Mandant; begrenzte Gastzugänge |
| Netz | Aktive Firewall mit restriktiver Regel (ufw); automatische Sperre missbräuchlicher Anmeldeversuche (fail2ban); Sicherheitskopfzeilen (nosniff, Referrer-Policy) |
| Administration | Administrativer Zugang nur durch Noah Lang; Serverzugang per SSH nur mit kryptografischem Schlüssel; die Anmeldung mit Passwort ist abgeschaltet |
| Menschliche Kontrolle | Kein Versand ohne Freigabe; Rücknahme von Freigaben 24 Stunden; Fremdsysteme nur lesend |
| Protokollierung | Protokoll jeder automatischen Aktion mit Datum, Uhrzeit, Regel; Webserverprotokolle 14 Tage; Systemjournal auf 500 MB begrenzt |
| Verfügbarkeit und Sicherung | Tägliche automatische Sicherung um 01:00 Uhr mit sieben Ständen; tägliche Versionierung des Programmcodes; [EINTRAGEN: Sicherungsumfang je Mandantendatenbank und externer Sicherungsort] |
| KI | Übermittlung an KI-Modelle nur der für die Aufgabe nötigen Daten; Anbieter mit Bezahlbedingungen ohne Training; einstellbare Monatsgrenzen für KI-Läufe |
| Lernnetz | Nur Domains von Massenabsendern; keine Inhalte, Personen oder Mandantennamen |
| Organisation | Vertraulichkeitsverpflichtung aller Zugriffsberechtigten; Pannenprozess mit Meldung an den Verantwortlichen binnen 24 Stunden; Überprüfung dieser Maßnahmen mindestens halbjährlich und nach jedem Vorfall |
Anlage 3. Übermittlungsklausel für Verantwortliche in Kolumbien
Diese Klausel gilt, wenn der Verantwortliche in Kolumbien ansässig ist (etwa Valmar Export Group C.I. S.A.S., NIT 830003553, Betreiberin der Marke Heliotropica), und bildet den Übermittlungsvertrag („contrato de transmisión“) nach Art. 25 Decreto 1377 de 2013 (zusammengeführt im Decreto 1074 de 2015) zur Ley Estatutaria 1581 de 2012. Maßgeblich ist die spanische Fassung.
- Umfang. Verarbeitung nur für die Zwecke aus Anlage 1 und nach der Política de Tratamiento des Verantwortlichen.
- Pflichten (Art. 18 Ley 1581). Habeas-Data-Rechte gewährleisten; Daten nach Anlage 2 sichern; auf Anweisung aktualisieren, berichtigen, löschen; Anfragen und Beschwerden binnen zwei Werktagen an den Verantwortlichen weiterleiten; strittige oder gesperrte Daten nicht verwenden; Sicherheitsverletzungen binnen 24 Stunden melden.
- Fristen. Der Verantwortliche beantwortet Anfragen binnen zehn Werktagen und Beschwerden binnen fünfzehn Werktagen (Art. 14 und 15 Ley 1581); der Auftragsverarbeiter unterstützt.
- Vertraulichkeit auch nach Vertragsende.
- Unterauftragsverarbeiter nach Ziffer 5.
- Einwilligungen. Der Verantwortliche verfügt über die gesetzlich erforderliche vorherige, ausdrückliche und informierte Autorisierung der Betroffenen und seine Política sieht die Übermittlung an Auftragsverarbeiter außerhalb Kolumbiens vor.
- Angemessenes Schutzniveau. Spanien gilt als EU-Mitgliedstaat nach der Superintendencia de Industria y Comercio als Land mit angemessenem Schutzniveau (Circular Externa 005 de 2017).
- Geschäftsgeheimnisse des Verantwortlichen werden geschützt.
- Beendigung nach Ziffer 10.
Data Processing Agreement (Art. 28 GDPR)
Version: 11.10.2026. Only the Spanish version is binding; the German and English versions are courtesy translations.
Parties
Controller: the business customer using OPTIMaiZEx under the General Terms.
Processor: Noah Lang, natural person trading as “The Optimizer”, tax ID [EINTRAGEN: NIF/NIE von Noah Lang], Av. Neptuno 59, 46137 La Pobla de Farnals (Valencia), Spain, support@optimaizex.com. Upon registration, The Optimizer S.L. succeeds the Processor (section 21 of the Terms).
This agreement follows Article 28 GDPR, forms part of the Terms, is accepted together with them and has the same term.
1. Subject matter, duration, nature and purpose
The Processor processes personal data on behalf of the Controller to provide OPTIMaiZEx, as described in Annex 1. The agreement runs as long as the main contract and thereafter until complete return and deletion.
2. Instructions
2.1. The Processor processes only on documented instructions, including for international transfers, unless required by law; it then informs the Controller beforehand where permitted (Art. 28(3)(a) GDPR).
2.2. Documented instructions are this agreement, the Terms and the Controller’s settings in OPTIMaiZEx (sorting rules, spam deletion, AI run limits, mailbox and system connections).
2.3. The Processor deletes emails or data only on instruction. The Controller determines retention periods and ensures that its instructions comply with statutory retention duties.
2.4. If the Processor considers an instruction unlawful, it informs the Controller immediately.
3. Confidentiality
All persons authorised to process are committed to confidentiality or under a statutory obligation (Art. 28(3)(b) GDPR), also after their engagement ends.
4. Security
The Processor implements the measures in Annex 2 (Art. 32 GDPR) and keeps them state of the art. It may replace them with equivalent or better measures but never lower the level of protection.
5. Sub‑processors
5.1. The Controller grants general authorisation for the sub‑processors at https://optimaizex.com/legal/subencargados.html.
5.2. The Processor notifies new or replaced sub‑processors by email at least 30 days in advance. The Controller may object on reasonable data protection grounds within that period. If no solution is found, it may terminate free of charge on the date of the change.
5.3. Each sub‑processor is bound by contract to the same obligations (Art. 28(4) GDPR); the Processor remains liable for its compliance.
6. International transfers
Transfers to third countries take place only under Articles 44 to 49 GDPR: adequacy decision (including the EU‑US Data Privacy Framework for certified recipients) and additionally Standard Contractual Clauses (Decision (EU) 2021/914) with a transfer impact assessment.
7. Assistance
7.1. The Processor assists with data subject requests (Art. 28(3)(e) GDPR). Requests received directly are forwarded without delay and not answered unless instructed.
7.2. The Processor assists with Articles 32 to 36 GDPR. A DPIA template is available at https://template.optimaizex.com/dox/rahmen/recht/muster-dsfa.html.
8. Personal data breaches
8.1. The Processor notifies every personal data breach without undue delay and at the latest 24 hours after becoming aware of it (Art. 33(2) GDPR).
8.2. The notice includes, as far as known: nature of the breach, categories and approximate numbers of data subjects and records, likely consequences, measures taken or proposed, contact point. Missing information follows in phases.
8.3. The Processor documents every breach and supports the Controller in meeting the 72‑hour deadline towards the supervisory authority.
9. Records
The Processor keeps a record of all categories of processing carried out on behalf of the Controller (Art. 30(2) GDPR).
10. Deletion and return
At the end of the services the Processor, at the Controller’s choice, returns the data by machine‑readable export and deletes it unless law requires storage (Art. 28(3)(g) GDPR). Deletion takes place at the latest 30 days after the export period; backups are overwritten within the rotation cycle in Annex 2. Deletion is confirmed in writing on request.
11. Audits
11.1. The Processor makes available all information necessary to demonstrate compliance and allows for and contributes to audits, including inspections (Art. 28(3)(h) GDPR).
11.2. The Controller announces audits 30 days in advance except after a breach, audits during business hours without endangering other Clients’ data and bears the costs. External auditors are bound to confidentiality. Written evidence comes first; an on‑site inspection is possible once a year or after a breach.
12. Learning network and own use
The Controller instructs the Processor to derive from its mailboxes only domains of bulk senders classified as advertising or spam and to share them in the OPTIMaiZEx learning network, without content, personal data or the Controller’s name. The Controller may revoke this instruction in the settings or by email. Beyond that, the Processor does not use the data for its own purposes or for model training.
13. Liability
Article 82 GDPR applies. Otherwise section 17 of the Terms applies, except where Article 82 GDPR does not permit limitation.
14. Governing law and jurisdiction
Spanish law; courts of Valencia (Spain). For Controllers established in Colombia, Annex 3 also applies.
Annex 1. Description of processing
| Element | Description |
|---|---|
| --- | --- |
| Subject matter | Provision of OPTIMaiZEx (mailbox organisation, Xannel, CRM, drafts, market research, partner portal and B2B shop) |
| Nature | Hosting, IMAP reading, rule‑based sorting, marking and moving, deletion on instruction, AI analysis and drafting, storage, retrieval, export |
| Purpose | Efficient handling of the Controller’s business communication, contacts and tasks; nothing leaves without human approval |
| Data subjects | Controller staff and Users; customers, prospects, suppliers, business partners and their contacts; senders and recipients of emails and messages; persons named in documents |
| Data categories | Business identification and contact data; content of emails, messages and attachments; communication metadata (sender, recipient, date, subject); business data (enquiries, quotes, orders, value scores); access data and action logs; market research results on companies |
| Special categories | Not intended. May occur incidentally in emails; the Controller decides on their processing |
| Duration | Term of the main contract plus export and deletion period |
| Location | IONOS server in Spain; AI processing in the USA per sub‑processor list |
Annex 2. Technical and organisational measures (Art. 32 GDPR)
| Area | Measure |
|---|---|
| --- | --- |
| Location and provider | IONOS server in a data centre in Spain, with the data centre’s physical access controls |
| Client separation | Own database per Client; own system user per Client; each Client service runs as an isolated service (systemd) with file permissions limited to its own directory |
| Encryption in transit | HTTPS with TLS for all access; HSTS enabled; IMAP connections over TLS |
| Credential protection | User passwords stored only as scrypt hashes; access secrets encrypted with AES‑256‑GCM, [EINTRAGEN: bestätigen, dass alle gespeicherten Postfach- und API-Zugangsdaten AES-256-GCM-verschlüsselt sind] |
| Encryption at rest | [EINTRAGEN: Festplattenverschlüsselung des Servers ja/nein laut IONOS-Produkt] |
| Authentication and session | Personal sign‑in; session cookie “ht” HttpOnly and Secure, 30 days; roles and permissions per Client; limited guest access |
| Network | Active firewall with restrictive policy (ufw); automatic blocking of abusive login attempts (fail2ban); security headers (nosniff, referrer policy) |
| Administration | Administrative access only by Noah Lang; server access via SSH with cryptographic keys only; password login is disabled |
| Human control | No sending without approval; approvals reversible for 24 hours; third party systems read‑only |
| Logging | Log of every automated action with date, time and rule; web server logs kept 14 days; system journal capped at 500 MB |
| Availability and backup | Daily automatic backup at 01:00 keeping seven versions; daily version control of program code; [EINTRAGEN: Sicherungsumfang je Mandantendatenbank und externer Sicherungsort] |
| AI | Only data needed for the task is sent to AI models; providers under paid terms without training; configurable monthly run limits |
| Learning network | Only bulk sender domains; no content, persons or Client names |
| Organisation | Confidentiality undertakings for all persons with access; breach procedure with notice to the Controller within 24 hours; review of these measures at least every six months and after each incident |
Annex 3. Transmission clause for Controllers in Colombia
This clause applies where the Controller is domiciled in Colombia (for example Valmar Export Group C.I. S.A.S., NIT 830003553, operating the brand Heliotropica) and constitutes the transmission contract under Article 25 of Decree 1377 of 2013 (compiled in Decree 1074 of 2015) implementing Statutory Law 1581 of 2012. The Spanish version is binding.
- Scope. Processing only for the purposes in Annex 1 and under the Controller’s data processing policy.
- Duties (Art. 18 Law 1581). Guarantee habeas data rights; secure data per Annex 2; update, rectify or delete on instruction; forward enquiries and complaints to the Controller within two business days; not use disputed or blocked data; report security breaches within 24 hours.
- Deadlines. The Controller answers enquiries within ten business days and complaints within fifteen business days (Arts. 14 and 15 Law 1581); the Processor assists.
- Confidentiality also after termination.
- Sub‑processors per section 5.
- Authorisations. The Controller holds the prior, express and informed authorisation of data subjects where required, and its policy provides for transmission to processors outside Colombia.
- Adequate level. Spain, as an EU Member State, is regarded by the Superintendencia de Industria y Comercio as offering an adequate level of protection (Circular Externa 005 of 2017).
- Trade secrets of the Controller are protected.
- Termination per section 10.