Acuerdo de tratamiento de datos

1. Partes y ámbito

El presente Acuerdo de tratamiento de datos ("Acuerdo") forma parte de los Términos del servicio celebrados entre Code Angels Unipessoal, Lda. ("Encargado del tratamiento", "nosotros") y el cliente empresarial que utiliza adRobin ("Responsable del tratamiento", "usted"). Se aplica cuando tratamos datos personales por cuenta de usted en el marco de la prestación del Servicio, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (el "RGPD").

No abarca los datos personales que tratamos en calidad de responsable del tratamiento, como los datos de cuenta y de facturación de sus usuarios. Ese tratamiento se describe en la Política de privacidad.

2. Detalles del tratamiento

• Objeto y finalidad: la prestación del Servicio, es decir, almacenar y tratar el contenido que usted facilita, generar contenidos de marketing y análisis mediante inteligencia artificial, publicar en las cuentas sociales que conecte, recopilar métricas de rendimiento y prestar asistencia.
• Duración: la vigencia del contrato, más el plazo de exportación y supresión establecido en los Términos.
• Naturaleza del tratamiento: alojamiento, conservación, organización, adaptación, transmisión a proveedores de modelos de IA y a plataformas sociales, consulta y supresión.
• Tipos de datos personales: cualquier dato personal incluido en el Contenido del Cliente. Puede incluir nombres, imágenes y rasgos físicos, datos de contacto, información profesional sobre personas y el contenido de mensajes e instrucciones.
• Categorías de interesados: sus empleados y colaboradores, sus clientes y clientes potenciales, y cualquier persona que aparezca en el contenido que cargue.
• Categorías especiales: no previstas. No debe cargar categorías especiales de datos ni datos relativos a condenas penales, salvo cuando sea estrictamente necesario y lícito. Si lo hace, será responsable de garantizar que existe una base jurídica válida.

3. Nuestras obligaciones

Nos comprometemos a:

• tratar los datos personales únicamente siguiendo sus instrucciones documentadas. Constituyen sus instrucciones los Términos, la configuración que usted haga del Servicio y el uso que haga de sus funcionalidades. Le informaremos si consideramos que una instrucción infringe la normativa de protección de datos;
• garantizar que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad;
• aplicar las medidas técnicas y organizativas descritas en la sección 9;
• respetar las condiciones de la sección 5 para recurrir a subencargados del tratamiento;
• asistirle, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados y en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad de los datos, evaluaciones de impacto y consulta previa;
• notificarle sin dilación indebida, y cuando sea posible en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos, con la información disponible en ese momento;
• al finalizar el Servicio, suprimir o devolver los datos personales según lo establecido en los Términos, salvo que la ley nos exija conservarlos;
• poner a su disposición la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir auditorías conforme a lo previsto en la sección 8.

4. Sus obligaciones

Usted es responsable de:

• la licitud del tratamiento y de sus instrucciones;
• contar con una base jurídica para los datos personales incluidos en el Contenido del Cliente, incluidos los consentimientos o autorizaciones de las personas que aparezcan en imágenes;
• informar a los interesados conforme exige la ley.

5. Subencargados del tratamiento

Usted nos otorga una autorización general para recurrir a subencargados del tratamiento. Los subencargados actuales figuran en el Anexo 1. Le informaremos, por correo electrónico o en la aplicación, con al menos 30 días de antelación antes de añadir o sustituir un subencargado. Durante ese plazo, podrá oponerse por motivos razonables relacionados con la protección de datos. Si no podemos resolver la oposición, podrá poner fin al Servicio afectado y recibir el reembolso del periodo prepagado aún no utilizado.

Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo, y seguimos siendo responsables de su cumplimiento.

6. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo. Cada una de esas transferencias se basa en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU., para los destinatarios certificados) o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con medidas adicionales cuando sea necesario.

7. Proveedores de inteligencia artificial

El contenido enviado a los proveedores de modelos de IA se utiliza únicamente para producir los resultados que usted solicita. Cuando el proveedor ofrece esa opción, elegimos configuraciones que no permiten utilizar su contenido para entrenar los modelos de dicho proveedor.

8. Auditorías

Responderemos a las preguntas razonables que nos formule por escrito sobre nuestro cumplimiento y le facilitaremos la documentación pertinente. Si ello no basta para demostrar el cumplimiento, podrá realizar una auditoría, a su cargo y como máximo una vez al año, o en cualquier momento si así lo exige una autoridad de control. La auditoría la llevará a cabo un auditor independiente sujeto a confidencialidad, con un preaviso mínimo de 30 días y sin perturbar nuestras operaciones ni comprometer la seguridad de otros clientes.

9. Medidas de seguridad

• Cifrado de los datos en tránsito (TLS). Cifrado en reposo cuando lo ofrezcan los proveedores de alojamiento y de base de datos.
• Acceso a los sistemas de producción limitado al personal autorizado según el principio de necesidad de conocer, con autenticación en dos pasos para el acceso administrativo.
• Separación lógica de los datos de cada cliente. Controles de acceso en la aplicación.
• Registro de los accesos y de las acciones administrativas.
• Copias de seguridad periódicas y procedimientos de restauración.
• Protección frente a ataques automatizados y abusos, incluidos límites de frecuencia y protección contra bots.
• Mantenimiento actualizado de los sistemas y las dependencias, y revisión de los cambios de seguridad.
• Procedimientos de detección y respuesta ante incidentes.

10. Responsabilidad y prelación

Las limitaciones de responsabilidad de los Términos se aplican a este Acuerdo, en la medida en que lo permita la ley. En caso de conflicto entre este Acuerdo y los Términos en materia de datos personales, prevalecerá este Acuerdo.

Anexo 1: Subencargados del tratamiento