Acuerdo de Tratamiento de Datos

ACUERDO DE TRATAMIENTO DE DATOS

El presente Acuerdo de Tratamiento de Datos (el «DPA») se celebra entre:

Empacer Limited, sociedad constituida conforme a las leyes de la República de Chipre, con domicilio social en 6 Vasili Vrionidi Str, 5th floor, Limassol, 3095, Cyprus («Encargado del Tratamiento» o «Empacer»); y

la entidad cliente o persona física que acepte estas condiciones («Responsable del Tratamiento» o «Cliente»).

El presente DPA forma parte de, y se incorpora por referencia a, las Condiciones del Servicio u otro acuerdo escrito o electrónico en virtud del cual Empacer presta los Servicios (el «Acuerdo Principal»). En caso de conflicto entre el presente DPA y el Acuerdo Principal en relación con el Tratamiento de Datos Personales, prevalecerá el presente DPA. Al aceptar el Acuerdo Principal o al utilizar los Servicios, el Cliente acepta el presente DPA.

Empacer podrá actualizar el presente DPA cuando así lo exija un cambio en la legislación, en las directrices regulatorias o en los Servicios. Si Empacer introduce un cambio sustancial, Empacer lo notificará al Cliente, y el DPA actualizado entrará en vigor en el momento de su publicación o según se comunique de otro modo por escrito.

Definiciones

1.1 Los términos en mayúscula que no se definan a continuación tendrán el significado que se les atribuye en la Legislación Aplicable en materia de Protección de Datos o en el Acuerdo Principal.

1.2 «Legislación Aplicable en materia de Protección de Datos» significa todas las leyes de protección de datos y privacidad aplicables al Tratamiento de los Datos Personales del Cliente en virtud del Acuerdo Principal, en su versión modificada o sustituida en cada momento, incluidos, cuando proceda, el Reglamento (UE) 2016/679 («RGPD de la UE»), el RGPD del Reino Unido junto con la Data Protection Act 2018 del Reino Unido, la Ley Federal suiza de Protección de Datos y las Leyes de Privacidad de EE. UU.

1.3 «Leyes de Privacidad de EE. UU.» significa las leyes de protección de datos y privacidad aplicables a los residentes de los Estados Unidos, incluida la California Consumer Privacy Act, en su versión modificada («CCPA»).

1.4 «Datos Personales del Cliente» significa los Datos Personales que el Cliente o sus usuarios autorizados envíen a los Servicios, o a los que Empacer acceda a través de una cuenta de terceros conectada por instrucción del Cliente, y que Empacer Trate por cuenta del Cliente. Esto incluye el contenido de las comunicaciones del Cliente con sus propios clientes en un buzón de correo, una cuenta de mensajería o un calendario conectados.

1.5 «Servicios» significa el asistente de IA, las aplicaciones y los servicios relacionados que Empacer presta en virtud del Acuerdo Principal.

1.6 «Subencargado del Tratamiento» significa cualquier tercero contratado por Empacer para Tratar Datos Personales del Cliente, según se enumera en el Anexo 1.

1.7 «Violación de la Seguridad de los Datos Personales» significa toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente almacenados, transmitidos o Tratados de otro modo por Empacer, sus Subencargados del Tratamiento o cualquier otro tercero que actúe por cuenta de Empacer, o la comunicación o acceso no autorizados a dichos datos.

1.8 «Cláusulas Contractuales Tipo» significa las cláusulas contractuales aprobadas por la Comisión Europea para la transferencia de Datos Personales a terceros países, en su versión actualizada o sustituida en cada momento.

Funciones de las partes

2.1 El Cliente actúa como Responsable del Tratamiento y Empacer como Encargado del Tratamiento en relación con los Datos Personales del Cliente. Cuando el Cliente sea a su vez encargado del tratamiento por cuenta de un tercero, Empacer actuará como subencargado del tratamiento y el Cliente garantiza que está autorizado para designar a Empacer.

2.2 Empacer actúa como responsable independiente del tratamiento en relación con los datos de cuenta, facturación, autenticación y seguridad, así como en relación con el registro de generación descrito en la cláusula 8.2, que trata conforme a su propio aviso de privacidad.

2.3 Instrucciones del Cliente. El presente DPA, el Acuerdo Principal, la configuración que el Cliente seleccione dentro de los Servicios y las órdenes dadas por los usuarios autorizados del Cliente constituyen conjuntamente las instrucciones documentadas del Cliente. Empacer Trata los Datos Personales del Cliente únicamente de conformidad con dichas instrucciones, salvo que la legislación aplicable exija otra cosa, en cuyo caso Empacer informará al Cliente antes del Tratamiento, salvo que la ley se lo prohíba.

2.4 Notificaciones al Cliente. Empacer informará sin demora y por escrito al Cliente si, en su opinión, una instrucción infringe la Legislación Aplicable en materia de Protección de Datos. Empacer informará al Cliente, en la medida en que la ley lo permita, si recibe una solicitud jurídicamente vinculante de comunicación de Datos Personales del Cliente procedente de una autoridad policial u otra autoridad pública.

Detalles del Tratamiento

3.1 Objeto y duración. El objeto es la prestación de los Servicios en virtud del Acuerdo Principal. La duración es la vigencia del Acuerdo Principal y el plazo adicional que sea necesario para que las partes cumplan sus obligaciones tras la finalización de dicha vigencia, incluida la supresión de los datos.

3.2 Naturaleza y finalidad del Tratamiento:

leer y organizar el contenido de los buzones de correo, las cuentas de mensajería y los calendarios conectados;
preparar borradores de respuestas, publicaciones y otros contenidos para su aprobación por el Cliente;
llevar a cabo acciones aprobadas a través de las cuentas conectadas;
conservar los hechos extraídos de lo anterior para que los Servicios ofrezcan continuidad entre sesiones;
generar texto, imágenes y otros contenidos por instrucción del Cliente;
transcribir las órdenes de voz dadas por los usuarios autorizados del Cliente;
gestión de cuentas, suscripción y facturación, así como análisis y mejora del producto.

3.3 Categorías de Datos Personales del Cliente. Las categorías dependen del uso que el Cliente haga de los Servicios, que el Cliente determina y controla, y pueden incluir, entre otras: datos de contacto; contenido de las comunicaciones, incluidos los archivos adjuntos y los borradores elaborados a partir de él; datos de citas y programación; hechos extraídos a la memoria del asistente; transcripciones de órdenes de voz; identificadores técnicos y tokens de acceso de las cuentas conectadas; y cualquier otra información facilitada por el Cliente o por los clientes del Cliente en datos no estructurados.

3.4 Categorías de Interesados. Pueden incluir, entre otros, los usuarios autorizados del Cliente; los clientes y clientes potenciales del Cliente que se comuniquen con el Cliente a través de un canal conectado; y cualquier otra persona física cuyos Datos Personales figuren en un canal conectado o sean enviados por el Cliente.

3.5 El Cliente no deberá enviar intencionadamente categorías especiales de Datos Personales, incluidos datos relativos a la salud, datos genéticos, datos biométricos o datos de menores, salvo que las partes hayan acordado por escrito las garantías necesarias. Si dichos datos se envían de forma involuntaria, Empacer les aplicará medidas de seguridad adecuadas y los tratará según las indicaciones del Cliente.

Obligaciones de Empacer

4.1 Confidencialidad. Empacer garantiza que todas las personas autorizadas para Tratar Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal adecuada, y reciben formación en materia de protección de datos y seguridad.

4.2 Seguridad. Teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del Tratamiento, así como el riesgo para los Interesados, Empacer aplica y mantiene las medidas técnicas y organizativas establecidas en el Anexo 2, y no introducirá cambios que reduzcan sustancialmente el nivel general de seguridad.

4.3 Subencargados del Tratamiento. El Cliente reconoce y acepta que Empacer recurre a terceros para prestar los Servicios. Empacer mantiene y actualiza una lista de los Subencargados del Tratamiento actuales, que figura en el Anexo 1. Empacer notificará los nuevos Subencargados del Tratamiento mediante la publicación de una actualización o por correo electrónico. Si el Cliente se opone de forma razonable a un nuevo Subencargado del Tratamiento por motivos legítimos de protección de datos, Empacer colaborará de buena fe con el Cliente para resolver la oposición, lo que podrá incluir ofrecer una solución alternativa o la opción de que el Cliente resuelva los Servicios afectados.

4.4 Obligaciones de los Subencargados del Tratamiento. Empacer celebra acuerdos contractuales con cada Subencargado del Tratamiento por los que se imponen obligaciones comparables a las impuestas a Empacer en virtud del presente DPA, incluidas la confidencialidad y unas medidas técnicas y organizativas adecuadas. Con sujeción a las limitaciones de responsabilidad del Acuerdo Principal, Empacer sigue siendo responsable de los actos y omisiones de sus Subencargados del Tratamiento en la misma medida en que sería responsable en virtud del presente DPA si hubiera realizado esos actos u omisiones por sí misma.

4.5 Solicitudes de los Interesados. Teniendo en cuenta la naturaleza del Tratamiento, Empacer informará al Cliente, en la medida en que la ley lo permita, si recibe una solicitud de un Interesado en relación con Datos Personales del Cliente. Empacer no responderá a dicha solicitud sin la autorización previa y por escrito del Cliente, salvo que el Cliente autoriza a Empacer a redirigir la solicitud en la medida necesaria para que el Cliente pueda responder directamente. Empacer prestará una asistencia razonable para que el Cliente pueda responder.

4.6 Violación de la Seguridad de los Datos Personales. Empacer notificará al Cliente sin dilación indebida tras tener conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente, describiendo la naturaleza de la violación, sus consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto, y prestará una asistencia razonable para que el Cliente pueda cumplir sus propias obligaciones. Empacer no notificará a una autoridad de control ni a los Interesados en nombre del Cliente salvo que reciba instrucciones por escrito o lo exija la ley. El Cliente puede ponerse en contacto con privacy@empacer.com para comunicar un incidente.

4.7 Asistencia con las evaluaciones de impacto. Cuando sea probable que un tipo de Tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, Empacer, antes del Tratamiento y teniendo en cuenta la naturaleza del Tratamiento y la información de que disponga, prestará una asistencia razonable al Cliente para realizar una evaluación del impacto de las operaciones de Tratamiento previstas en la protección de los Datos Personales.

4.8 Autoridad de control. Empacer prestará al Cliente una asistencia razonable en cualquier consulta previa a una autoridad de control derivada de dicha evaluación, limitada a la información relativa al Tratamiento realizado por Empacer. Empacer reconoce que una autoridad de control puede dirigir recomendaciones por escrito a Empacer y ejercer sus poderes en virtud de la Legislación Aplicable en materia de Protección de Datos, e informará al Cliente, en la medida en que la ley lo permita, de cualquier recomendación o ejercicio de poderes de este tipo que afecte al Tratamiento de Datos Personales del Cliente.

4.9 Supresión y devolución. Tras la expiración o resolución del Acuerdo Principal, Empacer, a elección del Cliente, devolverá o suprimirá los Datos Personales del Cliente. Cuando se solicite la supresión, o cuando no se realice ninguna elección, Empacer suprimirá los Datos Personales del Cliente de sus sistemas activos en un plazo de treinta (30) días, con la salvedad de que:
(a) los registros técnicos y los registros de generación se suprimen en un plazo de noventa (90) días desde su creación; y
(b) las copias en las copias de seguridad conservadas por nuestro Subencargado del Tratamiento de alojamiento se suprimen en un plazo de catorce (14) días tras su supresión de los sistemas activos.

4.10 Rectificación y supresión a petición. Empacer rectificará o suprimirá elementos concretos de Datos Personales del Cliente en un plazo de treinta (30) días desde la solicitud del Cliente, salvo que la ley exija su conservación. Las copias en registros técnicos, registros de generación y copias de seguridad se suprimen conforme a los plazos de la Sección 4.9.

Obligaciones del Cliente

5.1 El Cliente declara, garantiza y se compromete a que ha facilitado todos los avisos necesarios y dispone, y mantendrá, de todos los derechos, consentimientos y autorizaciones necesarios exigidos por la Legislación Aplicable en materia de Protección de Datos para facilitar Datos Personales del Cliente a Empacer y para autorizar a Empacer a Tratarlos de conformidad con el presente DPA y el Acuerdo Principal.

5.2 El Cliente declara y garantiza que ha cumplido y seguirá cumpliendo la Legislación Aplicable en materia de Protección de Datos, que los Datos Personales del Cliente se han recogido de forma lícita y se limitan a lo necesario para los fines para los que se Tratan, y que sus instrucciones cumplen la legislación aplicable.

5.3 Configuraciones. Sin perjuicio de las obligaciones de Empacer en virtud de la cláusula 4.2, el Cliente es responsable de las decisiones de configuración y diseño que adopte dentro de los Servicios, incluidas las cuentas de terceros que conecte, las automatizaciones que habilite, los ajustes de aprobación que aplique y los ajustes de conservación y supresión que seleccione, así como de implementarlas de forma que se cumpla la Legislación Aplicable en materia de Protección de Datos.

5.4 Cuando el Cliente envíe Datos Personales relativos a terceros, incluidos sus propios clientes, o facilite el acceso a ellos, el Cliente será el único responsable de garantizar que dispone de la base jurídica necesaria para hacerlo. Empacer no asume responsabilidad alguna cuando el Cliente carezca de dicha base.

5.5 El Cliente cooperará razonablemente con Empacer para ayudar a Empacer a cumplir sus obligaciones en virtud de la Legislación Aplicable en materia de Protección de Datos.

Derecho de auditoría

6.1 Previa solicitud razonable y por escrito del Cliente, y con sujeción a controles de confidencialidad razonables, Empacer pondrá a disposición del Cliente los informes de auditoría o certificaciones disponibles y demás información razonablemente necesaria para demostrar el cumplimiento del presente DPA. En la medida en que dicha información no resulte suficiente, tras una Violación de la Seguridad de los Datos Personales, o cuando el Cliente deba responder a una auditoría de una autoridad reguladora, el Cliente acepta un plan de auditoría acordado mutuamente con Empacer que: (a) prevea la notificación por escrito a Empacer con la debida antelación; (b) solicite acceso únicamente durante el horario laboral y exija que la auditoría se realice de forma que cause las mínimas perturbaciones; (c) acepte que se facturen al Cliente los costes razonables en que incurra Empacer para apoyar la auditoría; (d) no tenga lugar más de una vez al año, salvo tras una Violación de la Seguridad de los Datos Personales o cuando lo exija una autoridad reguladora; (e) limite sus conclusiones exclusivamente a los datos relativos al Cliente; y (f) obligue al Cliente y a cualquier auditor, en la medida en que lo permita la ley o la normativa, a mantener la confidencialidad de toda información recabada que, por su naturaleza, deba ser confidencial.

Transferencias internacionales de datos

7.1 Empacer está establecida en la Unión Europea. Los Datos Personales del Cliente se alojan en Amazon Web Services en los Estados Unidos y también pueden ser Tratados por otros Subencargados del Tratamiento fuera de la UE/EEE, incluso en los Estados Unidos, según se establece en el Anexo 1.

7.2 Cuando la Legislación Aplicable en materia de Protección de Datos lo exija para las transferencias transfronterizas (p. ej., Datos Personales de la UE/EEE, del Reino Unido o de Suiza), Empacer se basa en mecanismos de transferencia legalmente reconocidos, como las Cláusulas Contractuales Tipo u otros marcos de adecuación.

7.3 Empacer facilitará una copia del mecanismo de transferencia pertinente previa solicitud. Cuando Empacer suprima alguna parte del mismo para proteger secretos comerciales, facilitará un resumen significativo de lo que se haya suprimido.

Contenido generado

8.1 El contenido generado a través de los Servicios, incluidas publicaciones e imágenes, se almacena en la cuenta del Cliente. El Cliente puede eliminar elementos concretos, incluidas imágenes, en cualquier momento. La eliminación surte efecto de conformidad con la cláusula 4.10.

8.2 Empacer conserva un registro interno de los eventos de generación que contiene un hash del contenido, la instrucción (prompt), el resultado de la clasificación de seguridad y el estado del marcado de procedencia. Empacer conserva este registro como responsable independiente del tratamiento con el fin de detectar usos indebidos de los Servicios y de formular, ejercer y defender reclamaciones judiciales, durante un periodo de 90 días. El registro no se comunica a otros clientes ni se utiliza para entrenar o mejorar ningún modelo.

Leyes de Privacidad de EE. UU.

9.1 En la medida en que sean aplicables las Leyes de Privacidad de EE. UU., Empacer se compromete a:

no proporcionar al Cliente ninguna contraprestación monetaria o de otro valor a cambio de Datos Personales del Cliente. Las partes reconocen que el Cliente no ha «vendido» Datos Personales del Cliente a Empacer;
no «vender» ni «compartir» Datos Personales del Cliente, según se definen dichos términos en las Leyes de Privacidad de EE. UU.;
cuando los Datos Personales del Cliente estén sujetos a la CCPA: no conservarlos, utilizarlos, comunicarlos ni Tratarlos de otro modo salvo en la medida necesaria para los fines comerciales especificados en el presente DPA y en el Acuerdo Principal; no conservarlos, utilizarlos, comunicarlos ni Tratarlos de otro modo fuera de la relación comercial directa entre las partes; no combinarlos con Datos Personales recibidos de un tercero o por cuenta de este, o recogidos a partir de las propias interacciones de Empacer con personas físicas, salvo en la medida permitida por la CCPA o según las indicaciones del Cliente; notificar al Cliente sin dilación indebida si Empacer determina que ya no puede cumplir sus obligaciones en virtud de la CCPA; y, cuando el Cliente considere razonablemente que el Tratamiento realizado por Empacer no es conforme con la CCPA, colaborar de buena fe con el Cliente para subsanar la cuestión o, en su defecto, dejar de Tratar los datos afectados previa instrucción por escrito del Cliente.

9.2 El Cliente se compromete a no realizar ninguna acción que convierta el suministro de Datos Personales del Cliente a Empacer en una «venta» o en un acto de «compartir» en virtud de las Leyes de Privacidad de EE. UU., o que haga que Empacer deje de ser un «proveedor de servicios» en virtud de la CCPA o un «encargado del tratamiento» en virtud de otras Leyes de Privacidad de EE. UU.

Responsabilidad

10.1 La responsabilidad en virtud del presente DPA está sujeta a las limitaciones y exclusiones establecidas en el Acuerdo Principal, salvo en la medida en que la Legislación Aplicable en materia de Protección de Datos no las permita.

10.2 Cada parte indemnizará a la otra por los costes, daños y multas derivados de su propio incumplimiento del presente DPA o de la Legislación Aplicable en materia de Protección de Datos, en la medida prevista en el Acuerdo Principal.

Anexo 1 — Subencargados del Tratamiento

A continuación figura una lista no exhaustiva de los principales Subencargados del Tratamiento utilizados por Empacer para el alojamiento, el tratamiento de datos u otras actividades relacionadas con los Servicios. Esta lista podrá actualizarse periódicamente de conformidad con la cláusula 4.3.

Amazon Web Services (infraestructura en la nube)
Google Cloud Platform (alojamiento, almacenamiento de datos)
Google Vertex (infraestructura de IA)
OpenAI (infraestructura de IA)
Anthropic (infraestructura de IA)
OpenRouter (infraestructura de IA)
Soniox (infraestructura de IA: conversión de voz a texto)
LiveKit (comunicación en tiempo real, infraestructura de IA)
Composio (capa de conexión para cuentas de terceros)
Vanta (automatización y supervisión del cumplimiento en materia de seguridad)

Anexo 2 — Medidas técnicas y organizativas

Controles de seguridad:

Controles de acceso: acceso basado en funciones conforme al principio de mínimo privilegio; autenticación multifactor para el acceso administrativo; revocación del acceso cuando deja de ser necesario.
Cifrado: datos cifrados en tránsito (TLS 1.2 y TLS 1.3) y en reposo, incluidas las copias de seguridad; tokens de acceso de las cuentas conectadas almacenados de forma cifrada.
Centros de datos en la nube con seguridad física conforme a los estándares del sector y acceso restringido al personal autorizado.
Supervisión y registro: registros de actividad, alertas de seguridad y detección de anomalías.
Respuesta a incidentes: proceso definido para la gestión de incidentes de seguridad y de Violaciones de la Seguridad de los Datos Personales, con notificación al Cliente de conformidad con el presente DPA.
Formación de los empleados: formación en materia de seguridad y protección de datos para el personal con acceso a Datos Personales del Cliente.
Separación lógica de los datos de los clientes; copias de seguridad periódicas con pruebas de restauración.
Análisis de vulnerabilidades, gestión de parches y gestión de cambios con revisión antes del despliegue en producción.
Minimización y conservación de datos: los Datos Personales del Cliente se conservan únicamente durante el tiempo necesario para prestar los Servicios o para cumplir una obligación legal.
Supresión de datos: supresión segura de conformidad con las cláusulas 4.9 y 4.10.