Acuerdo de intercambio de datos de Social-238 (responsable a responsable)

Última actualización 2026-10-26 · No es asesoramiento legal: un acuerdo en palabras simples para clientes en la UE, el Reino Unido y Brasil.

1. Partes y finalidad

Este acuerdo se celebra entre quien opera el radar, una persona física establecida en Argentina, que opera Social-238 ("el operador"), y el cliente empresa que recibe datos de creadores de Social-238 ("el cliente"). Forma parte de los Términos del Servicio y fija cómo cada parte trata los datos personales que el operador comparte con el cliente.

2. Roles

• El operador decide qué datos públicos recopilar, cómo leerlos y qué estimar a partir de ellos. Es un responsable independiente de la lista (RGPD art. 4(7)).
• El cliente decide para qué y cómo usa los datos que recibe. Es un responsable independiente de esos datos desde el momento en que los recibe.
• Las partes no son corresponsables (art. 26). El operador no es encargado del tratamiento del cliente, y el art. 28 no se aplica a este intercambio.
• Cada parte responde por sí sola de su propio cumplimiento.

3. Objeto y categorías de datos

Titulares de los datos: personas que tienen cuentas públicas de creador en TikTok e Instagram y no aparentan menos de 16 años. Algunas pueden tener 16 o 17 años.

Datos compartidos:

• usuario, nombre visible, cantidad de seguidores, texto de la biografía, enlaces y fechas de publicación, tal como se muestran en público, con el historial de cifras por día;
• datos de contacto, solo cuando el creador los publicó en su perfil;
• un lugar (país, región, localidad) inferido de señales públicas;
• una franja de edad aparente estimada a partir de videos públicos;
• puntajes de interacción y un juicio sí o no sobre si la cuenta es una sola persona real;
• un estado de supresión que indica si el creador fue dado de baja.

• No se comparten a propósito datos de categorías especiales (art. 9), y ninguno se usa como filtro ni como puntaje.
• La franja de edad es un rango amplio estimado a partir de videos. El operador no guarda plantillas faciales ni ningún otro código biométrico, por lo que la franja no es un dato biométrico según el art. 4(14) y el art. 9.
• Las cuentas que podrían pertenecer a menores de 16 años quedan fuera de lo que se comparte.

4. Base legal

• El operador se basa en el interés legítimo (art. 6(1)(f)): ayudar a las empresas a encontrar creadores públicos y trabajar con ellos. Mantiene una evaluación escrita de interés legítimo y un registro de actividades de tratamiento.
• El cliente se basa en su propio interés legítimo (art. 6(1)(f)) para sus propios fines, y hace su propia evaluación antes del uso.
• Que un dato sea público no es por sí solo una base legal. Cada parte pondera las expectativas razonables del creador, y ninguna lee datos detrás de un inicio de sesión o de un bloqueo.

5. Transparencia

• El operador cumple el art. 14 respecto de su recopilación: un aviso de privacidad público que nombra fuentes, campos, finalidades, base legal, plazo de conservación, destinatarios, derechos y un contacto, y una página de consulta y baja.
• El cliente da su propia información del art. 14 sobre su propio uso, a más tardar cuando contacta por primera vez a un creador, o dentro del mes de recibir los datos, lo que ocurra primero. Su aviso indica que los datos provienen de Social-238.

6. Solicitudes de los titulares

• Cada parte responde las solicitudes que recibe (acceso, rectificación, supresión, oposición, limitación) sobre los datos de los que es responsable, dentro del plazo legal.
• Si una solicitud se refiere a datos de la otra parte, quien la recibe la reenvía dentro de los 10 días hábiles, y ambas cooperan.
• Las solicitudes al operador se envían a hello@social238.com.
• Ambas partes respetan una oposición según el art. 21: el creador es dado de baja y no se lo vuelve a contactar con fines publicitarios.

7. Traslado de las bajas

• Cuando un creador es dado de baja de Social-238, el operador deja de compartirlo y marca el estado de supresión en la API.
• El cliente borra a ese creador de toda copia que tenga dentro de los 30 días, salvo que tenga su propia base legal separada (por ejemplo, un contrato con el creador).
• El cliente revisa el estado de supresión al menos una vez por mes.

8. Seguridad

Cada parte mantiene medidas adecuadas al riesgo (art. 32). Como mínimo:

• todo el tráfico por TLS;
• acceso por puestos con nombre y claves de API secretas, una clave por organización, revocada si se expone;
• registros de acceso en ambos lados (quién, qué operación, cuándo), sin guardar las respuestas en los registros;
• acceso del personal limitado a quienes lo necesitan, con deber de confidencialidad.

9. Sin transferencias ulteriores

• El cliente no comparte los datos fuera de su propio grupo de empresas, salvo con sus propios encargados obligados por cláusulas del art. 28.
• Un cliente agencia puede compartir una lista corta de campaña con su propio cliente, dentro de los límites de los Términos del Servicio, y le traslada estas obligaciones.
• El cliente no vende, sublicencia ni publica los datos.

10. Transferencias internacionales

• El operador está en Argentina. La Comisión Europea reconoció que Argentina ofrece un nivel de protección adecuado (Decisión 2003/490/CE), por lo que los datos enviados desde la UE al operador no requieren cláusulas contractuales tipo (art. 45).
• Cuando el operador comparte datos con un cliente fuera de la UE o del Espacio Económico Europeo, en un país sin decisión de adecuación, las partes firman las cláusulas contractuales tipo de la UE, Módulo Uno (responsable a responsable, Decisión (UE) 2021/914), que prevalecen sobre este acuerdo donde difieran (art. 46).
• Para el Reino Unido, se usa el anexo británico a esas cláusulas cuando haga falta.

11. Violaciones de seguridad de los datos

• Cada parte avisa a la otra sin demora indebida, y dentro de las 72 horas de tomar conocimiento, de una violación que afecte los datos compartidos.
• El aviso dice qué ocurrió, qué datos y cuántos creadores están afectados, y qué se está haciendo.
• Cada parte notifica a su propio regulador y a los creadores afectados cuando lo exigen los arts. 33 y 34.

12. Brasil y el Reino Unido

• Para clientes en el Reino Unido, este acuerdo se aplica al UK GDPR de la misma manera (mutatis mutandis), con el regulador británico en lugar de los reguladores de la UE.
• Para clientes en Brasil, se aplica a la LGPD de la misma manera: interés legítimo (art. 7(IX) y art. 10) con una prueba de ponderación, nunca para datos sensibles, y transferencias según el art. 33 de la LGPD.

13. Vigencia y prelación

• Este acuerdo dura mientras el cliente conserve datos de Social-238, incluso después de que termine el plan.
• Si este acuerdo y los Términos del Servicio difieren sobre datos personales, prevalece este acuerdo. Si unas cláusulas contractuales tipo firmadas difieren de ambos, prevalecen las cláusulas.

14. Ley aplicable

Este acuerdo sigue la ley aplicable y los tribunales de los Términos del Servicio, salvo cuando las cláusulas contractuales tipo o el RGPD exijan la ley y los tribunales de un Estado miembro de la UE.

15. Contacto

Notificaciones, solicitudes y avisos de violaciones: hello@social238.com.