BORRADOR PARA REVISIÓN LEGAL: Este documento es una plantilla preparada por AdSpot para revisión de asesoría legal externa. No constituye asesoría legal ni debe ser utilizado sin validación previa de un abogado colegiado en República Dominicana. Versión: 2026-09-14.

ACUERDO DE PROCESAMIENTO DE DATOS PERSONALES (DPA)

Anexo al Acuerdo de Anunciante

Nota para revisión legal: la versión anterior de este DPA regulaba segmentación de audiencias, retargeting, audiencias similares y medición de conversiones. La Plataforma no ofrece hoy ninguno de esos servicios: AdSpot compra y revende en nombre propio espacios publicitarios físicos y digitales, y el único dato personal que trata por cuenta del Anunciante es el que viene dentro de las piezas publicitarias. El DPA se reduce a ese alcance. Si en el futuro se ofrecen servicios de audiencias, se requerirá un anexo nuevo. Confirmar además si, con este alcance, el DPA sigue siendo necesario o si basta una cláusula en el Acuerdo de Anunciante. Hoy la Plataforma no tiene un flujo para firmar este documento.

ENTRE:

DE UNA PARTE: [NOMBRE_ANUNCIANTE], con RNC/Cédula No. [RNC_ANUNCIANTE], domicilio en [DOMICILIO_ANUNCIANTE], representada por [REPRESENTANTE_ANUNCIANTE], cédula [CEDULA_ANUNCIANTE], actuando en calidad de RESPONSABLE DEL TRATAMIENTO ("el RESPONSABLE");

DE OTRA PARTE: REPORTANDO AL INSTANTE, S.R.L., con RNC 131-99194-7, domicilio en Lope de Vega 122, Ens. La Fe, Santo Domingo, D.N., representada por Carlos Alonso Veloz, cédula 001-1237656-1, sociedad que opera bajo el nombre comercial "AdSpot" y es titular del dominio web adspot.do, actuando en calidad de ENCARGADO DEL TRATAMIENTO ("el ENCARGADO" o "ADSPOT");

Las PARTES reconocen que el RESPONSABLE ha firmado en la Plataforma el Acuerdo de Anunciante (el "Contrato Principal"), contrato madre que rige todas las Órdenes de Servicio que el RESPONSABLE emita, y convienen suscribir el presente ACUERDO DE PROCESAMIENTO DE DATOS PERSONALES (el "DPA"), que forma parte integrante de dicho Contrato Principal, conforme a las disposiciones de la Ley No. 172-13 sobre Protección de Datos Personales de la República Dominicana y demás normativa aplicable.

ARTÍCULO PRIMERO: OBJETO

1.1. El presente DPA tiene por objeto regular las condiciones conforme a las cuales ADSPOT, en calidad de Encargado del Tratamiento, trata los datos personales contenidos en las piezas publicitarias (artes) que el RESPONSABLE suministra para la ejecución de las Campañas contratadas mediante Órdenes de Servicio.

1.2. En los casos en que ADSPOT determine por sí misma las finalidades y medios del tratamiento, actuará como Responsable del Tratamiento, rigiéndose por su Política de Privacidad y no por el presente DPA. Es el caso, entre otros, de los datos de la cuenta del RESPONSABLE y de sus usuarios, los datos fiscales y de pago, la evidencia de firma electrónica y los mensajes intercambiados en la Plataforma.

ARTÍCULO SEGUNDO: DEFINICIONES

Los términos en mayúscula no definidos en el presente DPA tendrán el significado atribuido en el Contrato Principal, en el Glosario de Términos Legales de AdSpot y/o en la Ley 172-13. Adicionalmente:

2.1. "Datos Personales": Toda información concerniente a personas físicas identificadas o identificables contenida en las piezas publicitarias que el RESPONSABLE suministra a ADSPOT.

2.2. "Titular": Persona física a quien se refieren los Datos Personales.

2.3. "Tratamiento": Cualquier operación o conjunto de operaciones sobre Datos Personales.

2.4. "Subprocesador" o "Subencargado": Tercero contratado por ADSPOT que trata Datos Personales por cuenta del RESPONSABLE.

2.5. "Brecha de Seguridad": Violación de seguridad que ocasione destrucción, pérdida, alteración, divulgación o acceso no autorizado a Datos Personales.

ARTÍCULO TERCERO: NATURALEZA, FINALIDAD Y DURACIÓN DEL TRATAMIENTO

3.1. Naturaleza: Recepción, almacenamiento, consulta, comunicación al Suplidor asignado, reproducción en el espacio publicitario contratado y eliminación de Datos Personales, conforme a las instrucciones del RESPONSABLE.

3.2. Finalidad: Ejecución de las Campañas contratadas bajo el Contrato Principal y las Órdenes de Servicio correspondientes, incluyendo:

(a) Recepción y almacenamiento del arte cargado por el RESPONSABLE en la Plataforma o en la carpeta de artes que el Suplidor habilita para la Campaña; (b) Revisión de su adecuación a las especificaciones técnicas del espacio contratado; (c) Entrega del arte al Suplidor certificado asignado mediante la Orden de Compra (O/C), para su producción y exhibición; (d) Exhibición de la pieza en el espacio publicitario durante el periodo contratado; (e) Conservación de las fotos testigo de inicio y fin de Campaña, que reproducen la pieza exhibida, como evidencia de la ejecución.

3.3. Duración: Durante la vigencia del Contrato Principal y el tiempo necesario para la ejecución de las Órdenes de Servicio, sujeto a las obligaciones de devolución o destrucción del Artículo Undécimo.

ARTÍCULO CUARTO: TIPOS DE DATOS Y CATEGORÍAS DE TITULARES

4.1. Tipos de Datos Personales tratados:

ADSPOT NO tratará categorías especiales de datos (salud, origen racial, orientación sexual, opinión política, creencia religiosa, datos de menores) salvo autorización expresa y escrita del RESPONSABLE y cumplimiento reforzado de las salvaguardas correspondientes.

4.2. Categorías de Titulares: (a) Personas que aparecen en las piezas publicitarias del RESPONSABLE (modelos, voceros, testimonios); (b) Empleados, clientes o terceros del RESPONSABLE cuyos datos figuren en la pieza.

Nota para revisión legal: el DPA no recoge hoy una declaración del RESPONSABLE de que cuenta con el consentimiento de los Titulares y con los derechos de imagen para la difusión pública de la pieza. Valorar si debe agregarse aquí o si ya lo cubre el Contrato Principal.

ARTÍCULO QUINTO: OBLIGACIONES DEL ENCARGADO (ADSPOT)

ADSPOT se obliga a:

5.1. Tratar los Datos Personales únicamente conforme a las instrucciones documentadas del RESPONSABLE, contenidas en el Contrato Principal, el presente DPA, las Órdenes de Servicio o instrucciones escritas adicionales. ADSPOT informará al RESPONSABLE si considera que una instrucción infringe la legislación aplicable.

5.2. Confidencialidad. Garantizar que el personal autorizado para tratar Datos Personales se comprometa a la confidencialidad o esté sujeto a obligación legal equivalente.

5.3. Medidas de seguridad. Implementar medidas técnicas y organizativas apropiadas al riesgo, incluyendo:

(a) Cifrado en tránsito (TLS) y cifrado en reposo provisto por la infraestructura de almacenamiento; (b) Control de acceso por roles y Row Level Security en la base de datos; el enlace a la carpeta de artes del Suplidor solo se muestra dentro de la conversación de la reserva, a las partes de esa Campaña; (c) Bitácoras de auditoría; (d) Respaldo semanal de la base de datos; (e) Límites de frecuencia y protección contra falsificación de solicitudes en la Plataforma.

Nota para revisión legal: la versión anterior incluía autenticación multifactor para accesos administrativos, capacitación del personal, segregación de entornos y evaluación periódica de seguridad. Se retiraron por no haber evidencia de su implementación sistemática; reincorporar solo las que ADSPOT confirme.

5.4. Subprocesadores. Contratar subprocesadores únicamente bajo obligaciones de protección equivalentes a las del presente DPA, conforme al Artículo Sexto.

5.5. Asistencia al RESPONSABLE. Asistir al RESPONSABLE, en la medida de lo posible y mediante medidas razonables, para:

(a) Atender solicitudes de ejercicio de derechos ARCOP de los Titulares; (b) Cumplir obligaciones de seguridad y notificación de brechas; (c) Responder requerimientos de autoridades competentes.

5.6. Notificación de brechas. Notificar al RESPONSABLE sin dilación indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de una Brecha de Seguridad, indicando:

(a) Naturaleza de la brecha; (b) Categorías y número estimado de Titulares y registros afectados; (c) Datos de contacto de ADSPOT para asuntos de privacidad (privacidad@adspot.do); (d) Consecuencias probables; (e) Medidas adoptadas o propuestas.

5.7. Registro de actividades. Mantener un registro de las Campañas y de las piezas tratadas por cuenta del RESPONSABLE.

ARTÍCULO SEXTO: SUBPROCESADORES AUTORIZADOS

6.1. El RESPONSABLE autoriza a ADSPOT a contratar a los siguientes subprocesadores para el tratamiento de Datos Personales, bajo las condiciones del Artículo Quinto:

Nota para revisión legal: (i) bajo el modelo de contratista principal, el Suplidor es contratado por ADSPOT en nombre propio; confirmar si debe calificarse como subencargado o como tercero destinatario; (ii) confirmar si los respaldos contienen los archivos o solo sus referencias (el respaldo es de la base de datos, no del almacenamiento de archivos).

6.2. ADSPOT mantendrá actualizada la lista de proveedores tecnológicos en su Política de Privacidad publicada en adspot.do/privacidad.

6.3. Cambios en subprocesadores. ADSPOT notificará al RESPONSABLE, con al menos treinta (30) días calendario de antelación, la incorporación o sustitución de subprocesadores tecnológicos. El RESPONSABLE podrá objetar motivadamente dentro de quince (15) días. Si la objeción es razonable y no puede resolverse, cualquiera de las PARTES podrá resolver el contrato afectado sin penalidad, sin perjuicio de obligaciones devengadas. La asignación de un Suplidor certificado a cada O/C no está sujeta a este aviso previo.

6.4. ADSPOT responde frente al RESPONSABLE por el cumplimiento de los subprocesadores.

ARTÍCULO SÉPTIMO: TRANSFERENCIAS INTERNACIONALES

7.1. El RESPONSABLE autoriza a ADSPOT y a sus subprocesadores a realizar transferencias internacionales de Datos Personales a los países indicados en el Artículo Sexto, que pueden no ofrecer nivel de protección equivalente al de la República Dominicana, siempre que se apliquen salvaguardas apropiadas.

7.2. Salvaguardas apropiadas incluyen:

(a) Los términos de protección de datos ofrecidos por los subprocesadores; (b) Medidas técnicas de seguridad (cifrado en tránsito, control de acceso); (c) Compromisos de los subprocesadores sobre derechos de los Titulares.

7.3. ADSPOT proveerá al RESPONSABLE, cuando sea requerido, información razonable sobre las salvaguardas aplicadas.

ARTÍCULO OCTAVO: DERECHOS DE LOS TITULARES

8.1. ADSPOT asistirá al RESPONSABLE, mediante medidas técnicas y organizativas razonables, en la atención de solicitudes de ejercicio de derechos ARCOP (acceso, rectificación, cancelación, oposición, portabilidad).

8.2. Si ADSPOT recibe directamente una solicitud de un Titular, la remitirá al RESPONSABLE dentro de los diez (10) días hábiles siguientes, sin responder por sí misma salvo instrucción del RESPONSABLE o requerimiento legal.

8.3. Cuando la solicitud implique retirar una pieza en exhibición, las consecuencias sobre la Orden de Servicio se regirán por las reglas de cancelación del Contrato Principal.

ARTÍCULO NOVENO: AUDITORÍA

9.1. ADSPOT pondrá a disposición del RESPONSABLE la información razonable necesaria para demostrar el cumplimiento del presente DPA, incluyendo reportes de auditoría de terceros independientes de los subprocesadores cuando estén disponibles (p. ej., SOC 2).

9.2. El RESPONSABLE podrá realizar auditorías, directamente o mediante auditor externo independiente, previo aviso escrito de al menos treinta (30) días calendario, limitadas a horario laboral, con frecuencia máxima de una (1) por año calendario, y sujetas a:

(a) Suscripción de acuerdo de confidencialidad razonable; (b) No interferencia con la operación de ADSPOT; (c) Exclusión de información confidencial de otros clientes de ADSPOT; (d) Asunción por el RESPONSABLE de los costos, salvo que la auditoría evidencie incumplimientos materiales imputables a ADSPOT.

9.3. Auditorías extraordinarias procederán únicamente tras Brechas de Seguridad materiales o requerimiento de autoridad competente.

ARTÍCULO DÉCIMO: NOTIFICACIÓN DE BRECHAS

Sin perjuicio de lo dispuesto en el Numeral 5.6, ADSPOT cooperará con el RESPONSABLE en la atención de Brechas de Seguridad, incluyendo:

(a) Provisión de información razonable sobre la brecha; (b) Apoyo en la notificación a autoridades y Titulares cuando aplique; (c) Adopción de medidas correctivas y preventivas; (d) Análisis de causa raíz.

El RESPONSABLE, como Responsable del Tratamiento, es quien determinará la pertinencia y contenido de la notificación a Titulares y autoridades.

ARTÍCULO UNDÉCIMO: DEVOLUCIÓN O DESTRUCCIÓN DE DATOS

11.1. A la terminación del Contrato Principal o del presente DPA, por cualquier causa, ADSPOT, a elección del RESPONSABLE notificada por escrito:

(a) Devolverá los Datos Personales al RESPONSABLE en formato estructurado y de uso común; o

(b) Eliminará los Datos Personales de forma segura e irreversible;

dentro de los noventa (90) días calendario siguientes a la terminación, salvo obligación legal de conservación, en cuyo caso se mantendrán únicamente los datos estrictamente necesarios, por el plazo estrictamente necesario, bajo las mismas obligaciones de confidencialidad y seguridad.

11.2. A solicitud razonable del RESPONSABLE, ADSPOT emitirá certificación escrita de la devolución o destrucción.

11.3. ADSPOT podrá conservar copias en respaldos técnicos hasta su rotación, que hoy es de noventa (90) días, bajo las obligaciones del presente DPA.

Nota para revisión legal: las fotos testigo reproducen la pieza y son la evidencia de ejecución frente a reclamaciones del Anunciante y del Suplidor. Definir si se conservan durante el plazo de reclamación aunque el RESPONSABLE pida la eliminación.

ARTÍCULO DÉCIMO SEGUNDO: RESPONSABILIDAD

12.1. Cada PARTE será responsable por los daños y perjuicios que cause a la otra PARTE o a terceros con motivo del incumplimiento de sus obligaciones bajo el presente DPA.

12.2. Límite de responsabilidad. La responsabilidad de cada PARTE bajo el presente DPA se sujeta a los límites establecidos en la cláusula de limitación de responsabilidad del Contrato Principal, salvo que la ley aplicable establezca un régimen específico de responsabilidad en materia de protección de datos.

12.3. Multas regulatorias. Cada PARTE asumirá las multas que le sean directamente imputables por la autoridad de control.

12.4. Indemnidad cruzada. Cada PARTE mantendrá indemne a la otra frente a reclamaciones de terceros o sanciones regulatorias causadas por el incumplimiento imputable de la primera respecto a sus obligaciones bajo el presente DPA.

Nota para revisión legal: la versión anterior remitía a los Artículos Décimo Tercero y Décimo Octavo de un "Contrato Marco de Servicios Publicitarios". El contrato madre vigente es el Acuerdo de Anunciante (versión 2026-09c); verificar la numeración de sus cláusulas de responsabilidad y de solución de controversias y citarlas expresamente.

ARTÍCULO DÉCIMO TERCERO: DISPOSICIONES GENERALES

13.1. Prevalencia. En caso de conflicto entre el presente DPA y el Contrato Principal en materia de tratamiento de Datos Personales, prevalecerá el presente DPA.

13.2. Ley aplicable y jurisdicción. El presente DPA se rige por las leyes de la República Dominicana. Las controversias se resolverán conforme a la cláusula de solución de controversias del Contrato Principal.

13.3. Modificaciones. Cualquier modificación del presente DPA requerirá acuerdo escrito entre las PARTES, sin perjuicio de actualizaciones necesarias para adaptarse a cambios regulatorios, que serán notificadas con antelación razonable.

13.4. Supervivencia. Las obligaciones que por su naturaleza deban sobrevivir a la terminación (confidencialidad, devolución o destrucción, responsabilidad) permanecerán vigentes.

Hecho y firmado en [CIUDAD], a los [DÍAS] días del mes de [MES] del año [AÑO], en dos (2) ejemplares originales de idéntico tenor y valor legal, uno para cada PARTE, o mediante firma electrónica conforme a la Ley 126-02.

POR EL RESPONSABLE (ANUNCIANTE):

[NOMBRE_ANUNCIANTE]

Nombre: [REPRESENTANTE_ANUNCIANTE] Cédula / Pasaporte: [CEDULA_ANUNCIANTE] Cargo: [CARGO_ANUNCIANTE] RNC: [RNC_ANUNCIANTE]

POR EL ENCARGADO (ADSPOT):

REPORTANDO AL INSTANTE, S.R.L.

Nombre: Carlos Alonso Veloz Cédula: 001-1237656-1 Cargo: Gerente RNC: 131-99194-7

Contacto para asuntos de privacidad: privacidad@adspot.do