Acuerdo de tratamiento de datos

1. Objeto, duración, naturaleza y finalidad

Objeto: prestar el servicio conforme a las condiciones del servicio. Duración: la suscripción, más el periodo necesario para devolver y eliminar los datos. Naturaleza y finalidad: alojar, buscar y transmitir el contenido del cliente para que sus miembros puedan investigar la ley con un modelo de IA elegido por el responsable.

Categorías de interesados: los miembros del responsable y cualquier persona nombrada en el contenido que introducen. Tipos de datos personales: lo que introduzcan los miembros; el servicio no está diseñado para categorías especiales (art. 9) ni para datos sobre infracciones penales (art. 10), y el responsable decide si los introduce.

2. Instrucciones

Tratamos los datos personales del cliente solo siguiendo las instrucciones documentadas del responsable — las condiciones, este acuerdo y los ajustes que el responsable elija en la aplicación — salvo que el Derecho de la UE o de un Estado miembro exija otra cosa; en ese caso, se lo comunicamos antes, salvo que la ley lo prohíba. Le avisamos si consideramos que una instrucción infringe la normativa de protección de datos.

3. Confidencialidad

Todas las personas autorizadas para tratar datos personales del cliente están sujetas a confidencialidad.

4. Medidas de seguridad

• Alojamiento en la UE (Hetzner, Núremberg, Alemania); cifrado en tránsito. Las copias de seguridad se guardan en nuestro servidor; la copia externa, una vez hecha, está cifrada.
• No se guarda el texto de las preguntas ni de las respuestas salvo que el responsable active las transcripciones; las transcripciones están cifradas con una clave específica de la organización.
• Las claves de los proveedores de IA se sellan al guardarlas; después, la aplicación solo muestra sus últimos cuatro caracteres.
• Acceso por funciones dentro de la organización; se admiten claves de acceso y segundos factores; inicio de sesión único a nivel de organización a través del propio proveedor de identidad de la organización (Microsoft Entra ID, Google, Okta o cualquier proveedor OpenID Connect), una vez que la organización ha acreditado su dominio de correo electrónico.
• Registro de auditoría de solo adición con exportación firmada.
• Nuestro personal trabaja a través de la consola de personal. Exige una cuenta de personal con segundo factor y un acceso de las últimas 12 horas. Cada cambio que el personal hace en una organización requiere un motivo y queda registrado en el propio registro de auditoría de esa organización. La concesión o retirada de acceso del personal queda registrada en nuestro propio registro de auditoría. Cambiar un precio, emitir o pagar una factura, registrar una comprobación de número de IVA o cambiar un plazo de conservación desde la línea de comandos del servidor también exige el nombre del operador y un motivo. El soporte puede ver una organización como miembro, en modo de solo lectura, durante 30 minutos como máximo; eso también queda registrado en el registro de la organización. Las violaciones de la seguridad de los datos personales se gestionan como se indica en Asistencia.

5. Subencargados

El responsable da autorización general para los subencargados de la lista de subencargados. Avisamos con al menos 30 días de antelación de cualquier incorporación o sustitución, por correo electrónico y en esa página; el responsable puede oponerse por motivos razonables de protección de datos y, si no resolvemos la oposición, puede poner fin al servicio afectado con un reembolso proporcional. Cada subencargado está sujeto a obligaciones de protección de datos equivalentes a estas, y seguimos siendo responsables de él.

El proveedor de IA que conecta el responsable lo contrata el responsable, en virtud de su propio acuerdo con dicho proveedor, y no es nuestro subencargado.

6. Asistencia

Ayudamos al responsable a responder las solicitudes de los interesados — las funciones de exportación y eliminación de la aplicación cubren la mayoría —, así como en materia de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa, teniendo en cuenta lo que podemos conocer. Notificamos al responsable una violación de la seguridad de los datos personales sin dilación indebida, y procuramos hacerlo en un plazo de 48 horas desde que tenemos conocimiento de ella.

7. Devolución y eliminación

Mientras su organización esté abierta, el responsable puede exportar sus datos en cualquier momento. Cuando se cierre, eliminamos los datos personales del cliente que tengamos 30 días después, incluso de las copias de seguridad al rotarlas, salvo que la ley nos obligue a conservarlos.

8. Información y auditorías

Ponemos a disposición la información necesaria para demostrar el cumplimiento del art. 28 y permitimos auditorías por el responsable o por un auditor que designe, previo aviso razonable y como máximo una vez al año, salvo que una brecha o una autoridad exija otra cosa. Aún no tenemos ninguna certificación de seguridad ni una prueba de penetración independiente; cuando tengamos alguna, se indicará aquí con su fecha.