Acuerdo de procesamiento de datos
El presente Acuerdo de procesamiento de datos es publicado por la Sociedad. La identidad completa de la Sociedad, su dirección y sus datos de contacto legal figuran al pie de esta página.
El presente Acuerdo regula el procesamiento de la información personal que el Cliente confía a la Sociedad, o que el Servicio procesa por cuenta del Cliente, en el marco del uso de la Plataforma. Complementa los Términos de servicio aplicables al Cliente y se aplica desde que el Cliente utiliza el Servicio para procesar información personal relativa a sus propios contactos o usuarios finales. Ha sido redactado para armonizarse con la Ley sobre la protección de la información personal en el sector privado de Quebec (la "Ley 25") y la Ley sobre la protección de la información personal y los documentos electrónicos ("LPRPDE"/PIPEDA), y sigue siendo, a nivel de principios, transponible a otros marcos aplicables cuando el Cliente esté establecido en otro lugar.
Índice
- Introducción
- Definiciones
- Funciones de las partes
- Objeto, duración, naturaleza y finalidad del tratamiento
- Instrucciones documentadas
- Confidencialidad del personal
- Medidas de seguridad
- Recurso a subencargados del tratamiento
- Asistencia al Cliente
- Notificación en caso de incidente de confidencialidad
- Derecho de auditoría razonable
- Transferencias internacionales de datos
- Destino de los datos al finalizar el contrato
- Jerarquía de los documentos
1. Introducción
> En términos sencillos — Este documento precisa, además de los Términos de servicio, cómo procesa la Sociedad la información personal que el Cliente le confía mediante el uso del Servicio, y qué se compromete a hacer cada parte al respecto.
El presente Acuerdo forma parte integrante del contrato que vincula al Cliente con la Sociedad para el uso del Servicio, es decir, los Términos de servicio y cualquier documento contractual adicional aplicable (en adelante, el "Contrato principal"). Se aplica a todo procesamiento de información personal realizado por la Sociedad por cuenta del Cliente en el marco de la prestación del Servicio, incluso cuando dicho procesamiento se realice, en todo o en parte, mediante funciones de inteligencia artificial (agentes conversacionales de texto o de voz) integradas en la Plataforma.
2. Definiciones
> En términos sencillos — Los términos siguientes retoman, adaptándolos al contexto de la Plataforma, los conceptos empleados por la Ley 25 y la LPRPDE; siguen siendo comprensibles para un lector familiarizado con el RGPD.
"Información personal": toda información relativa a una persona física identificada o identificable, incluida, en su caso, la información recopilada o generada en el marco de una interacción con un agente conversacional de texto o de voz operado mediante el Servicio.
"Responsable del tratamiento" (o "responsable de la protección de la información personal" en el sentido de la Ley 25): la parte que determina las finalidades y los medios del tratamiento de información personal. A efectos del presente Acuerdo, el Cliente actúa como responsable del tratamiento respecto de la información personal de sus propios contactos y usuarios finales.
"Encargado del tratamiento" (o "procesador"): la parte que procesa información personal por cuenta del responsable del tratamiento, siguiendo sus instrucciones documentadas y dentro de los límites del mandato que se le confía. A efectos del presente Acuerdo, la Sociedad actúa como encargado del tratamiento del Cliente, en el marco exclusivo de la prestación del Servicio — a distinguir del uso del mismo término en nuestra Política de privacidad y nuestra Lista de subprocesadores, donde designa más bien a los propios proveedores de la Sociedad (véase la definición de "Subencargado del tratamiento" a continuación).
"Incidente de confidencialidad": en el sentido de la Ley 25, todo acceso no autorizado, todo uso no autorizado o toda comunicación no autorizada de información personal, así como la pérdida o cualquier otro menoscabo de la protección de dicha información.
"Subencargado del tratamiento": todo tercero al que la Sociedad recurre para procesar, en todo o en parte, información personal por cuenta del Cliente en el marco de la prestación del Servicio.
"Servicio": la plataforma en la nube multiinquilino explotada por la Sociedad, incluidas sus funciones de agentes conversacionales basados en inteligencia artificial.
3. Funciones de las partes
> En términos sencillos — Respecto de la información personal de sus propios contactos, es el Cliente quien decide y quien responde de esas decisiones; la Sociedad ejecuta sus instrucciones, como proveedor técnico.
En la medida en que el Cliente procese, mediante el Servicio, información personal relativa a sus propios contactos o usuarios finales, el Cliente actúa como responsable del tratamiento de dicha información. Corresponde al Cliente asegurarse de contar con una base legal o un consentimiento adecuado para recopilar y procesar esa información, y de cumplir, frente a los titulares de los datos, con el conjunto de obligaciones que le incumben a este respecto.
La Sociedad actúa, respecto de esa misma información, como encargado del tratamiento del Cliente. Solo procesa dicha información en la medida necesaria para prestar el Servicio y siguiendo las instrucciones documentadas del Cliente, sin perjuicio de las obligaciones legales que excepcionalmente le sean propias.
Este reparto de funciones no se extiende a la información que la Sociedad recopila para sus propios fines, tales como la gestión de la cuenta del Cliente, la facturación o la seguridad de la Plataforma; respecto de dicha información, la Sociedad actúa como responsable del tratamiento, de conformidad con su Política de privacidad.
4. Objeto, duración, naturaleza y finalidad del tratamiento
> En términos sencillos — La Sociedad procesa la información personal del Cliente únicamente para prestarle el Servicio, y solo durante el tiempo que dure la relación contractual entre ambas partes.
El objeto del tratamiento encomendado a la Sociedad se limita a la prestación del Servicio, incluidos el alojamiento, la ejecución de las funciones de la aplicación, la operación de las funciones de agentes conversacionales de texto y de voz, así como el soporte técnico necesario para tales fines.
La naturaleza del tratamiento comprende, según la configuración elegida por el Cliente, la recopilación, el registro, la conservación, la consulta, la estructuración, la transmisión y, en su caso, la supresión de la información personal correspondiente.
La finalidad del tratamiento se limita estrictamente a la acordada con el Cliente mediante el Contrato principal y el presente Acuerdo; la Sociedad no procesa la información personal del Cliente para fines propios, salvo los necesarios para la explotación, la seguridad y la mejora técnica del propio Servicio, dentro de los límites permitidos por el Contrato principal.
La duración del tratamiento corresponde a la duración del Contrato principal que vincula al Cliente con la Sociedad, sin perjuicio de lo dispuesto en la sección 13 relativa al destino de los datos al finalizar el contrato.
5. Instrucciones documentadas
> En términos sencillos — La Sociedad procesa la información del Cliente conforme a las instrucciones de este, incluidas las dadas mediante la simple configuración del Servicio, y no conforme a sus propias decisiones.
La Sociedad solo procesa la información personal del Cliente por instrucciones documentadas de este, salvo cuando una obligación legal exija lo contrario, en cuyo caso la Sociedad informa previamente al Cliente, en la medida en que la ley se lo permita.
Las instrucciones documentadas del Cliente comprenden tanto las dadas explícitamente por escrito como las que resulten de la configuración y los parámetros que el Cliente decida aplicar al Servicio, en particular los relativos a las funciones de agentes conversacionales, a las integraciones activadas y a los plazos de conservación aplicables.
Si la Sociedad considera que una instrucción del Cliente contraviene una disposición aplicable en materia de protección de la información personal, lo notifica al Cliente sin dilación indebida, tan pronto como sea razonablemente posible, sin estar obligada a ejecutar la instrucción cuestionada mientras la situación no se haya aclarado.
6. Confidencialidad del personal
> En términos sencillos — Toda persona, dentro de la Sociedad, que tenga acceso a la información del Cliente se compromete formalmente a preservar su confidencialidad.
La Sociedad se asegura de que los miembros de su personal autorizados a acceder a la información personal procesada por cuenta del Cliente estén sujetos a un compromiso de confidencialidad, de origen contractual o estatutario, que cubra dicha información, y de que reciban una formación adecuada sobre el tratamiento correcto de la información personal en el ejercicio de sus funciones.
El acceso a la información personal dentro de la Sociedad se limita a las personas cuyas funciones lo requieran, conforme al principio del menor privilegio, y se apoya en el control de acceso basado en roles descrito en la sección 7.
7. Medidas de seguridad
> En términos sencillos — La Sociedad aplica medidas de seguridad técnicas y organizativas concretas para proteger la información del Cliente; el detalle completo se publica por separado.
La Sociedad aplica medidas de seguridad técnicas y organizativas adecuadas en función de los riesgos que presenta el tratamiento, en particular: el aislamiento de los datos por organización cliente a nivel de la base de datos, mediante una política de seguridad a nivel de fila aplicada de manera sistemática; el cifrado de la información personal en tránsito y en reposo; un control de acceso basado en roles; así como un registro de auditoría con marca de tiempo de los accesos y las operaciones pertinentes.
La descripción detallada de estas medidas figura en el documento independiente titulado "Resumen de seguridad", que la Sociedad mantiene actualizado y pone a disposición del Cliente. La Sociedad no reivindica, en el presente Acuerdo ni en ningún otro lugar, certificación alguna de terceros en materia de seguridad o de conformidad respecto del Servicio, salvo mención expresa y documentada en el propio Resumen de seguridad.
La Sociedad se reserva el derecho de hacer evolucionar estas medidas con el tiempo, siempre que dicha evolución no tenga por efecto reducir el nivel general de protección de la información personal del Cliente.
8. Recurso a subencargados del tratamiento
> En términos sencillos — La Sociedad recurre a otros proveedores especializados (alojamiento, pagos, modelos de IA, voz, etc.) para operar el Servicio; están listados y actualizados en un documento aparte, y el Cliente es informado de todo cambio importante.
El Cliente autoriza de manera general a la Sociedad a recurrir a subencargados del tratamiento para la ejecución de la totalidad o parte de los tratamientos necesarios para la prestación del Servicio, en las siguientes categorías: infraestructura de base de datos, autenticación y almacenamiento; alojamiento de aplicaciones; procesamiento de pagos; proveedores de modelos de inteligencia artificial para el procesamiento de texto y voz; síntesis de voz; generación de avatares en video; pasarela de mensajería de terceros, cuando el propio Cliente decida conectar una cuenta de mensajería externa; orquestación de tratamientos asíncronos; y servicios de cartografía. Esta autorización general se limita a estas categorías; el recurso a una categoría de subencargado no incluida en ella requiere el procedimiento de notificación descrito a continuación.
La lista actualizada de los subencargados del tratamiento efectivamente utilizados, identificados por categoría de servicio, se mantiene en el documento independiente titulado "Lista de subprocesadores", que la Sociedad actualiza y pone a disposición del Cliente.
La Sociedad impone contractualmente a cada subencargado del tratamiento obligaciones de protección de la información personal sustancialmente equivalentes a las que le incumben en virtud del presente Acuerdo, en la medida aplicable a la naturaleza del servicio prestado por dicho subencargado.
En caso de incorporación o sustitución de un subencargado del tratamiento que implique una modificación importante de la "Lista de subprocesadores", la Sociedad informa de ello al Cliente por un medio razonable, en particular mediante la actualización del documento antes mencionado acompañada de un aviso apropiado. El Cliente dispone de un derecho de objeción razonable respecto de un nuevo subencargado del tratamiento, que puede ejercer comunicando sus inquietudes a la Sociedad dentro de un plazo razonable tras el aviso; las partes colaborarán entonces de buena fe para encontrar una solución adecuada. Si, a pesar de esta colaboración de buena fe, las partes no logran alcanzar una solución satisfactoria, el Cliente podrá resolver el Contrato principal, sin penalización, mediante un preaviso razonable limitado a la parte del Servicio afectada por el subencargado en cuestión.
9. Asistencia al Cliente
> En términos sencillos — La Sociedad proporciona al Cliente herramientas concretas para responder a las solicitudes de sus propios usuarios (acceso, supresión, corrección), y lo apoya cuando sea necesario en sus evaluaciones de riesgos relativas a la privacidad.
La Sociedad pone a disposición del Cliente un sistema integrado que permite crear, dar seguimiento y tramitar las solicitudes de exportación, supresión y rectificación formuladas por los usuarios finales del Cliente, incluido el seguimiento del estado de cada solicitud y la conservación de un historial de tramitación. Esta herramienta constituye el medio concreto por el cual la Sociedad asiste al Cliente en el ejercicio de sus obligaciones frente a los titulares de los datos, sin que ello exima al Cliente de su obligación, como responsable del tratamiento, de responder él mismo a dichas solicitudes dentro de los plazos aplicables.
En la medida en que la información requerida esté razonablemente disponible para la Sociedad y sea pertinente para este fin, la Sociedad proporciona asimismo al Cliente una asistencia razonable para la realización de evaluaciones de factores relativos a la privacidad, o de cualquier análisis de impacto equivalente, cuando dichas evaluaciones sean exigidas por la ley aplicable al Cliente en relación con su uso del Servicio.
10. Notificación en caso de incidente de confidencialidad
> En términos sencillos — Si un incidente afecta a la información que la Sociedad procesa para el Cliente, la Sociedad lo notifica al Cliente sin dilación indebida, tal como lo exige la Ley 25.
En caso de incidente de confidencialidad que afecte a información personal procesada por la Sociedad por cuenta del Cliente, la Sociedad lo notifica al Cliente sin dilación indebida, tan pronto como sea razonablemente posible tras tener conocimiento de ello, de conformidad con las obligaciones aplicables en virtud de la Ley 25 y, en su caso, de la LPRPDE.
Este aviso incluye, en la medida en que dicha información esté entonces disponible o llegue a estarlo posteriormente, una descripción de la naturaleza del incidente, de las categorías de información personal afectadas, de las medidas adoptadas o previstas por la Sociedad para mitigar las consecuencias del incidente, así como, en su caso, las medidas que el Cliente podría considerar adoptar por su parte. La Sociedad colabora de buena fe con el Cliente para proporcionarle la información adicional razonablemente necesaria para evaluar el incidente y, en su caso, para cumplir con sus propias obligaciones de notificación frente a los titulares de los datos o a las autoridades competentes.
11. Derecho de auditoría razonable
> En términos sencillos — El Cliente puede solicitar información que demuestre que la Sociedad cumple con sus compromisos, dentro de límites razonables en cuanto a la frecuencia y a la confidencialidad de la información intercambiada.
El Cliente puede solicitar a la Sociedad información razonable que demuestre el cumplimiento, por parte de esta, de las obligaciones que le incumben en virtud del presente Acuerdo, en particular mediante la comunicación de documentación pertinente sobre las medidas de seguridad vigentes, dentro de los límites de lo que pueda divulgarse sin comprometer la seguridad del Servicio ni la confidencialidad debida a otros clientes de la Plataforma.
Este derecho se ejerce con una frecuencia razonable, previo aviso escrito dirigido a la Sociedad, y de manera que se limite la interrupción de las actividades normales de la Sociedad. La información así comunicada al Cliente permanece confidencial y solo puede utilizarse para que el Cliente evalúe el cumplimiento del presente Acuerdo.
12. Transferencias internacionales de datos
> En términos sencillos — La información puede ser procesada por subencargados del tratamiento situados fuera de Quebec; las precisiones al respecto figuran en un documento independiente.
El tratamiento de la información personal del Cliente por la Sociedad, o por sus subencargados del tratamiento, puede implicar una transferencia de dicha información fuera de Quebec. Los principios y las precisiones aplicables a estas transferencias, incluidas las garantías establecidas de conformidad con los requisitos de la Ley 25 relativos a la evaluación de factores relativos a la privacidad para una transferencia fuera de Quebec, se detallan en el documento independiente titulado "Residencia y transferencia de datos", que la Sociedad mantiene actualizado y pone a disposición del Cliente.
13. Destino de los datos al finalizar el contrato
> En términos sencillos — Al finalizar el contrato, la información del Cliente se suprime o se devuelve según las modalidades acordadas; los plazos precisos se detallan en la Política de retención de datos.
Al finalizar el Contrato principal, sea cual sea la causa, la Sociedad procede, conforme a las modalidades acordadas con el Cliente o, a falta de un acuerdo particular, conforme a sus prácticas habituales, a la supresión o a la devolución de la información personal procesada por cuenta del Cliente, sin perjuicio de las obligaciones legales de conservación que puedan aplicarse a determinadas categorías de información.
Los plazos de conservación aplicables por categoría de datos, así como las modalidades de purga automatizada aplicables a determinadas categorías técnicas, se detallan en el documento independiente titulado "Política de retención de datos", que la Sociedad mantiene actualizado y pone a disposición del Cliente.
14. Jerarquía de los documentos
> En términos sencillos — En caso de contradicción con los Términos de servicio sobre una cuestión de protección de la información personal, prevalece este documento.
En caso de conflicto o incompatibilidad entre las disposiciones del presente Acuerdo y las de los Términos de servicio, o de cualquier otro documento contractual que vincule a las partes, relativas específicamente a la protección de la información personal, prevalecen las disposiciones del presente Acuerdo. Para toda cuestión no tratada en el presente Acuerdo, siguen aplicándose los Términos de servicio y los demás documentos aplicables.