1. El modelo jurídico de Vidika
Cuando una empresa contrata a Vidika para captar leads, gestionar campañas o desplegar landings, Vidika trata datos personales por cuenta de esa empresa. Por eso operamos bajo la figura del Encargado del Tratamiento definida en el Artículo 28 del RGPD.
| Rol | Quién | Qué hace |
|---|---|---|
| Responsable del Tratamiento (Art. 4.7 RGPD) | El cliente (anunciante final) | Decide los fines del tratamiento. Tiene la relación comercial con la persona física. |
| Encargado del Tratamiento (Art. 4.8 RGPD) | Vidika MarTech Agency S.L. | Trata los datos siguiendo las instrucciones documentadas del Responsable, aplicando medidas técnicas Art. 32. |
| Subencargados (Art. 28.4 RGPD) | Hostinger, Anthropic, Google, Meta, TikTok, Twilio | Reciben subdelegación específica para infraestructura, IA, publicidad y mensajería. Notificados al Responsable. |
La figura jurídica es la misma que aplican Salesforce, HubSpot, Mailchimp, ActiveCampaign o Klaviyo. El Reglamento no obliga a alojar la base de datos en infraestructura del cliente. Lo que sí obliga es un contrato de encargo, medidas técnicas verificables, transparencia, reversibilidad y notificación de subencargos. Todo eso lo cumplimos.
1.1 · El Contrato de Encargo del Tratamiento (DPA)
Vidika dispone de una plantilla de DPA propia, alineada con el modelo de la Agencia Española de Protección de Datos (AEPD), que se firma con cada cliente activo antes del intercambio de datos. El DPA cubre:
- Objeto, duración y finalidad del tratamiento.
- Tipos de datos personales tratados y categorías de interesados.
- Obligaciones y derechos del responsable y del encargado.
- Medidas técnicas y organizativas conforme al Art. 32 RGPD.
- Régimen de subencargados con autorización general previa.
- Asistencia al responsable en derechos de los interesados y notificación de brechas.
- Devolución o supresión de datos al finalizar la relación.
- Derecho de auditoría del responsable sobre el encargado.
Si necesitas el DPA antes de firmar el contrato comercial, lo enviamos en menos de 48 horas hábiles. Escríbenos a davidperez@vidika.es.
2. AI Act España y Reglamento UE 2024/1689
El Reglamento Europeo de Inteligencia Artificial entró en vigor el 1 de agosto de 2024. España aprobó su proyecto de ley nacional de adaptación en mayo de 2026 y está pendiente de publicación en el BOE. Vidika cumple desde la primera fecha de obligación (2 de febrero de 2025) y ha incorporado el AI Act como capa adicional del marco de cumplimiento.
2.1 · Usos prohibidos: por qué Vidika no incurre
| Uso prohibido por el AI Act | Posición de Vidika |
|---|---|
| Manipulación dañina o subliminal | No aplicable. Toda nuestra comunicación publicitaria es transparente sobre el producto, precio y marca anunciada. |
| Explotación de vulnerabilidades | No aplicable. No segmentamos por discapacidad, edad sensible ni condiciones socioeconómicas vulnerables. |
| Puntuación social | No aplicable. Vidika no construye perfiles sociales de personas físicas para evaluar su conducta general. |
| Clasificación biométrica sensible | No aplicable. Vidika no procesa datos biométricos. |
| Deepfakes sexuales no consentidos | No aplicable. Las imágenes generadas por IA en nuestras campañas son ilustrativas del producto y se etiquetan como tales. |
2.2 · Obligaciones aplicables y estado de cumplimiento
| Obligación | Aplica a Vidika | Estado |
|---|---|---|
| Supervisión humana en sistemas de alto riesgo | No. Vidika opera marketing performance, fuera del Anexo III del Reglamento. | Clasificación interna documentada como "riesgo limitado". |
| Transparencia al interactuar con IA (Art. 50) | Sí. Aplicable cuando lancemos asistentes conversacionales con consumidor final (por ejemplo, agentes de WhatsApp con IA). | Compromiso: el primer mensaje declarará que la interacción es con una IA. |
| Etiquetado de contenidos sintéticos y deepfakes | Sí, cuando usamos imagen o vídeo generado con IA para campañas o landings. | Plan: disclaimer visual "imagen / vídeo generado con IA" en piezas que lo justifiquen y en VideoLandings Pro. |
| Inventario de usos de IA y formación | Sí. | Inventario interno en preparación, publicación prevista en este mismo sitio web. |
2.3 · Inventario público de IA usada por Vidika
Por transparencia, declaramos las herramientas y modelos de IA que usamos hoy:
- Claude (Anthropic). Análisis automatizado de campañas, generación de copys y briefs internos. Riesgo limitado, sin decisiones automatizadas sobre interesados.
- Generadores de imagen y vídeo con IA (banana-claude y similares) para creatividades publicitarias y para VideoLandings Pro. Riesgo limitado, sujeto a etiquetado.
- Smart Bidding de Google Ads, Advantage+ de Meta y Smart+ de TikTok. Algoritmos de optimización publicitaria de los proveedores. Vidika es usuario, no desarrollador. La responsabilidad del modelo es del proveedor.
- WinTracker. Plataforma propia de atribución basada en lógica determinística. No es IA en el sentido del Reglamento.
La inclusión de cualquier nueva herramienta o modelo se evalúa en el comité legal mensual y se documenta en este inventario.
3. WinTracker, VideoLandings y el ecosistema Vidika
El cumplimiento es responsabilidad de Vidika como entidad. El cómo se ejecuta en cada herramienta del ecosistema:
3.1 · WinTracker (atribución y CRM marketing)
- Anonimización selectiva de leads bajo derecho de supresión, conservando la métrica agregada de campaña.
- Retención configurable por cliente, con cron de purga automática a 24 meses por defecto.
- Procedimiento ARCO-POL operativo desde el panel de administración.
- Exportabilidad completa en CSV bajo derecho de portabilidad.
- Registro de auditoría de accesos administrativos a datos de cliente.
- Sin uso de IA con decisiones automatizadas sobre interesados.
3.2 · VideoLandings Pro (landings con vídeo)
- Formularios con base jurídica explícita y política de privacidad alineada con el cliente anunciante.
- Etiquetado en el propio vídeo cuando el contenido es generado o editado significativamente con IA.
- Captura de leads pasada en tiempo real a WinTracker para atribución, sin almacenamiento intermedio fuera del marco RGPD.
3.3 · Otros productos del ecosistema
EligeYa, los agentes de WhatsApp con IA y las automatizaciones internas siguen el mismo marco. Cada nuevo producto pasa por el checklist de arranque de cumplimiento antes de salir a producción o ser ofrecido a un cliente.
4. Stack normativo aplicable
Vidika opera desde Madrid con clientes en España y nueve países de Latinoamérica. El marco regulatorio que aplicamos depende del país del cliente y del tipo de tratamiento.
| Norma | Ámbito | Cuándo aplica |
|---|---|---|
| RGPD (Reglamento UE 2016/679) | Unión Europea | Siempre que el responsable o el interesado estén en la UE. |
| LOPDGDD (Ley Orgánica 3/2018) | España | Clientes españoles y desarrollo nacional del RGPD. |
| LSSI-CE (Ley 34/2002) | España | Comunicaciones comerciales electrónicas y cookies en sitios web españoles. |
| AI Act (Reglamento UE 2024/1689) | Unión Europea | Todo uso de IA con efecto en la UE. Vidika lo aplica también en LATAM por coherencia. |
| LOPDP (Ley Orgánica de Protección de Datos Personales) | Ecuador | Clientes ecuatorianos como Novonet/Netlife. |
| Ley 29733 de Protección de Datos Personales | Perú | Clientes peruanos como Konecta/WIN, MiFibra, Movistar, El Comercio. |
5. Subencargos del tratamiento
Para prestar el servicio nos apoyamos en una lista corta y estable de proveedores tecnológicos. Cada uno tiene su propio Data Processing Agreement firmado con Vidika y se notifica al cliente al inicio de la relación.
| Proveedor | Función | Ubicación legal |
|---|---|---|
| Hostinger International Ltd. | Hosting de la infraestructura web y de WinTracker. | UE (Lituania). |
| Anthropic PBC | Modelos Claude para generación de análisis, copys y briefs internos. | EE. UU. con DPA estándar y cláusulas contractuales tipo de la Comisión Europea. |
| Google Ireland Ltd. | Google Ads API, Google Workspace, Google Analytics 4, Google Fonts. | UE (Irlanda) con transferencias al amparo del Data Privacy Framework. |
| Meta Platforms Ireland Ltd. | Marketing API, Conversions API, Lead Ads, WhatsApp Business Platform. | UE (Irlanda) con CCT y Data Privacy Framework. |
| TikTok Technology Ltd. | Ads API, Events API y Lead Ads cuando el cliente lo contrata. | UE (Irlanda). |
| Twilio Inc. | Mensajería SMS y WhatsApp Business API, cuando el cliente lo activa. | EE. UU. con CCT y certificación Privacy Shield sucesoria. |
Si en algún momento incorporamos un subencargado nuevo, lo notificamos al cliente y le damos la oportunidad de oponerse antes de la activación.
6. Procedimiento de brecha de seguridad
Cualquier incidente que pueda comprometer datos personales se gestiona conforme al Art. 33 del RGPD y a nuestro protocolo interno. El flujo es:
- Detección y contención. Aislar el sistema afectado y conservar evidencia.
- Notificación al cliente afectado antes de 24 horas desde la detección.
- Notificación a la AEPD o a la autoridad equivalente del país del cliente antes de 72 horas si el cliente así lo decide y el incidente reviste el carácter del Art. 33.
- Notificación a las personas físicas afectadas si la brecha entraña un riesgo elevado para sus derechos y libertades (Art. 34).
- Registro interno con causa raíz, impacto, medidas correctoras y plazos.
El protocolo está documentado, asignado y se entrena en simulacro al menos una vez al año.
7. Cómo te ayudamos con tu propia auditoría
Si tu departamento legal o tu auditor externo necesitan documentación específica, te enviamos en formato listo para revisar:
- Plantilla de DPA firmable.
- Registro de actividades de tratamiento aplicable a tu caso.
- Listado actualizado de subencargos y sus respectivos DPA.
- Política interna de retención y procedimiento ARCO-POL operativo.
- Inventario de IA aplicable al servicio que has contratado.
- Resumen ejecutivo de medidas Art. 32 implementadas.
Escríbenos a davidperez@vidika.es con asunto "Cumplimiento" y te respondemos en menos de 48 horas hábiles. Si prefieres una llamada de 30 minutos con David Pérez para repasar el marco completo, agenda directamente desde la home.
8. Cambios en esta página
El marco normativo evoluciona. Cada actualización relevante se refleja en la fecha de "Última actualización" arriba y se notifica a los clientes activos por email cuando afecta a datos ya tratados o a obligaciones contractuales.