Acuerdo de Tratamiento de Datos

Traducción informativa. La versión en inglés es la versión principal y prevalece en caso de discrepancia.

Este Acuerdo de Tratamiento de Datos (el «ATD») se incorpora a las Condiciones de Servicio de Urdi (el «Acuerdo») entre Urdi, Inc. («Urdi», «nosotros») y el cliente («Cliente», «tú») y se aplica en la medida en que el Contenido del Cliente incluya datos personales protegidos por la Legislación de Protección de Datos.

1. Definiciones

«Legislación de Protección de Datos» significa todas las leyes aplicables al tratamiento de datos personales en virtud del Acuerdo, incluido el Reglamento General de Protección de Datos de la UE 2016/679 («RGPD»), el RGPD del Reino Unido y la Data Protection Act 2018, la Ley Federal de Protección de Datos de Suiza y las leyes estatales de privacidad aplicables en Estados Unidos. «Datos Personales del Cliente» significa los datos personales contenidos en el Contenido del Cliente. «CCT» significa las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea. Términos como «responsable», «encargado», «interesado», «datos personales» y «tratamiento» tienen los significados que les atribuye la Legislación de Protección de Datos. Los términos con inicial mayúscula que no se definan aquí tienen el significado establecido en el Acuerdo.

2. Funciones

En relación con los Datos Personales del Cliente, el Cliente es el responsable (o un encargado que actúa por cuenta de otro responsable) y Urdi es el encargado. Cada parte cumplirá sus propias obligaciones conforme a la Legislación de Protección de Datos. El Cliente es responsable de la exactitud y licitud de los Datos Personales del Cliente, de contar con una base jurídica válida y de facilitar todos los avisos y obtener todos los consentimientos necesarios para el tratamiento de Urdi descrito en este ATD, incluidos los datos obtenidos de Servicios Conectados (como contenido de correos electrónicos, datos de contactos y transcripciones de reuniones) relativos a personas distintas de los propios usuarios del Cliente. Urdi actúa como responsable independiente de los datos de cuenta, facturación, uso, seguridad, identidad del cliente y marketing descritos en nuestra Política de Privacidad, incluso cuando utiliza Materiales de Identidad del Cliente para sus propios fines empresariales, publicitarios, de difusión o promoción conforme al apartado 11.2 del Acuerdo. Este ATD no rige ese tratamiento como responsable independiente.

3. Instrucciones de tratamiento

Urdi tratará los Datos Personales del Cliente para prestar, proteger, mantener y mejorar los Servicios; para desarrollar, entrenar, evaluar y mejorar los modelos, funciones y sistemas de aprendizaje automático de Urdi; para crear y utilizar datos agregados y desidentificados; y, en los demás casos, conforme a las instrucciones documentadas del Cliente. Esas instrucciones se componen del Acuerdo, este ATD, las configuraciones del Cliente en los Servicios (incluidos los permisos de conectores, los ajustes de agentes y las aprobaciones) y cualquier otra instrucción escrita acordada por las partes. El Cliente instruye y autoriza el tratamiento descrito en este ATD y en el Acuerdo, incluidos los usos del Contenido del Cliente establecidos en las Condiciones de Servicio y la Política de Privacidad. Urdi informará al Cliente si, a su juicio, una instrucción infringe la Legislación de Protección de Datos, y notificará al Cliente (salvo prohibición legal) si la ley le exige tratar Datos Personales del Cliente al margen de sus instrucciones. Urdi no intentará volver a identificar datos que haya desidentificado ni utilizará información recibida de las API de Google para entrenar modelos generalizados de IA o aprendizaje automático.

4. Naturaleza y detalles del tratamiento

• Objeto y duración: prestación de los Servicios durante la vigencia del Acuerdo, más el período de eliminación previsto en el apartado 10.
• Naturaleza y finalidad: alojamiento, almacenamiento, sincronización, indexación, transformación, presentación, transmisión, publicación y distribución de Materiales de Aplicaciones del Cliente según lo autorice el Acuerdo; análisis y generación asistidos por IA; acciones automatizadas configuradas por el Cliente; desarrollo, entrenamiento y evaluación de modelos; y análisis y mejora del producto.
• Categorías de interesados: usuarios y personal del Cliente; clientes, clientes potenciales y contactos comerciales del Cliente; participantes en comunicaciones y reuniones incorporadas por el Cliente (corresponsales de correo y asistentes a reuniones); usuarios finales de las Aplicaciones del Cliente.
• Categorías de datos personales: datos de identificación y contacto; datos profesionales; contenido y metadatos de comunicaciones (correo, chat, calendario); registros de CRM; notas y transcripciones de reuniones; archivos y documentos; credenciales que el Cliente decida almacenar; datos de uso y registros. El Cliente es responsable de no enviar categorías especiales de datos salvo en los casos permitidos por el Acuerdo.

5. Confidencialidad

Urdi garantiza que el personal autorizado a tratar Datos Personales del Cliente está sujeto a obligaciones de confidencialidad contractuales o legales y solo accede a ellos en la medida necesaria para cumplir el Acuerdo.

6. Seguridad

Urdi mantiene medidas técnicas y organizativas apropiadas destinadas a proteger los Datos Personales del Cliente frente a la destrucción, pérdida, alteración, divulgación o acceso accidentales o ilícitos, teniendo en cuenta el estado de la técnica y los riesgos del tratamiento, incluidas las medidas del apartado 14 (Medidas de seguridad). Urdi podrá actualizar esas medidas siempre que no se reduzca sustancialmente el nivel global de protección.

7. Subencargados

El Cliente otorga autorización general por escrito para que Urdi contrate subencargados dentro de las categorías publicadas en /es/subencargados y reconoce que Urdi puede añadir, sustituir o eliminar proveedores dentro de esas categorías en cualquier momento sin aviso individual. Urdi actualizará esa página antes de que subencargados de una nueva categoría de tratamiento comiencen a tratar Datos Personales del Cliente y, cuando se ofrezca esa opción, avisará por correo a los clientes suscritos. El Cliente podrá oponerse a una nueva categoría dentro de los 30 días posteriores a la actualización por motivos razonables relacionados con la protección de datos; las partes dialogarán de buena fe y, si no encuentran una solución, el Cliente podrá cancelar la suscripción afectada y recibir un reembolso proporcional de las tarifas prepagadas y no utilizadas. Este es el único recurso exclusivo del Cliente frente a objeciones relativas a subencargados. Urdi impondrá a los subencargados obligaciones de protección de datos que, en lo sustancial, no sean menos protectoras que las de este ATD y seguirá siendo responsable por su desempeño como si fuera el suyo propio.

8. Asistencia

Teniendo en cuenta la naturaleza del tratamiento, Urdi prestará asistencia razonable al Cliente (incluso mediante las funciones de los Servicios) para responder a solicitudes de interesados, garantizar la seguridad del tratamiento, notificar violaciones de datos personales, realizar evaluaciones de impacto sobre la protección de datos y efectuar consultas previas a autoridades de control. Si un interesado contacta directamente con Urdi en relación con Datos Personales del Cliente, Urdi lo remitirá al Cliente cuando pueda identificarlo. El Cliente reembolsará los costos comercialmente razonables de la asistencia que exceda las funciones integradas en los Servicios, siempre que se le hayan comunicado por adelantado.

9. Violación de datos personales

Urdi notificará al Cliente sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de una violación de datos personales que afecte a Datos Personales del Cliente, facilitará la información razonablemente disponible a medida que la conozca, tomará medidas razonables para contener y remediar la violación y cooperará con las obligaciones razonables de notificación del Cliente. La notificación de Urdi o su respuesta a una violación no supone reconocimiento de culpa ni responsabilidad. El Cliente es el único responsable de notificar a las autoridades de control y a los interesados cuando sea el responsable del tratamiento, así como de las violaciones originadas por sus propias configuraciones, credenciales, usuarios, Aplicaciones del Cliente o Servicios Conectados.

10. Eliminación y devolución

Al terminar o vencer el Acuerdo, Urdi, a elección del Cliente comunicada dentro de los 30 días, eliminará o devolverá los Datos Personales del Cliente y, en cualquier caso, los eliminará dentro de los 90 días posteriores a la terminación, excepto (a) copias en respaldos cifrados, aisladas de forma segura, protegidas frente a tratamientos adicionales y eliminadas en el ciclo ordinario de respaldos, y (b) datos que Urdi deba conservar conforme a la ley aplicable, que seguirán protegidos por este ATD.

11. Auditorías

Urdi pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este ATD. Podrá atender solicitudes de auditoría facilitando de forma confidencial su documentación de seguridad más reciente, respuestas a cuestionarios e informes de auditoría o certificaciones de terceros (como SOC 2 o resúmenes de pruebas de penetración, cuando estén disponibles). Cuando la Legislación de Protección de Datos otorgue al Cliente un derecho obligatorio de auditoría que esos materiales no satisfagan, el Cliente podrá realizar una auditoría como máximo una vez por año calendario (salvo que la exija una autoridad de control o tras una violación sustancial), en horario laboral, con al menos 30 días de preaviso, a su cargo, bajo obligaciones de confidencialidad y sin perturbar irrazonablemente las operaciones de Urdi.

12. Transferencias internacionales

Los Servicios no están dirigidos ni se ofrecen a personas del Espacio Económico Europeo, el Reino Unido o Suiza. No obstante, si el tratamiento implica, y en la medida en que implique, una transferencia de Datos Personales del Cliente protegidos por la Legislación de Protección de Datos de la UE, del Reino Unido o de Suiza a un país sin decisión de adecuación (incluidas las transferencias a Urdi en Estados Unidos), las partes incorporan por referencia las CCT como sigue: Módulo Dos (responsable → encargado) cuando el Cliente sea responsable y Módulo Tres (encargado → encargado) cuando el Cliente sea encargado; se incluye la cláusula 7 (adhesión); cláusula 9, opción 2 (autorización general, 30 días); cláusula 17 regida por el derecho irlandés; cláusula 18, tribunales de Irlanda; se consideran completados los anexos con los detalles de este ATD (apartados 4, 6, 7 y 14). Para transferencias del Reino Unido se aplica el Anexo de Transferencia Internacional de Datos del Reino Unido con los datos correspondientes; para transferencias suizas se aplican las CCT adaptadas conforme a las orientaciones del Comisionado Federal de Protección de Datos e Información de Suiza. Si las CCT entran en conflicto con este ATD, prevalecen las CCT.

13. Responsabilidad

La responsabilidad de cada parte derivada de este ATD o relacionada con él (incluidas las CCT) está sujeta a las exclusiones y limitaciones de responsabilidad del Acuerdo, y la responsabilidad conjunta en virtud del Acuerdo y este ATD está sujeta a un único límite máximo agregado, siempre que nada limite la responsabilidad de cualquiera de las partes respecto de los derechos de protección de datos de una persona ni cualquier responsabilidad que la Legislación de Protección de Datos no permita limitar.

14. Medidas de seguridad

Urdi mantiene, como mínimo, las siguientes medidas técnicas y organizativas:

• Cifrado en tránsito: cifrado de transporte conforme a los estándares del sector para datos en tránsito entre clientes, los Servicios y los subencargados.
• Cifrado en reposo: cifrado conforme a los estándares del sector para datos almacenados, con cifrado de envoltura adicional mediante claves versionadas para credenciales y secretos almacenados, y almacenamiento cifrado del contenido de comunicaciones en caché.
• Autenticación y credenciales: contraseñas almacenadas mediante hash unidireccional con sal conforme a los estándares del sector; tokens de API y acceso almacenados en forma de hash o cifrada; compatibilidad con tokens de alcance limitado y revocables.
• Control de acceso: acceso basado en roles y delimitado por cuenta y espacio de trabajo; permisos de integración limitados a recursos específicos seleccionados por el cliente; aislamiento de clientes aplicado y probado.
• Registro y supervisión: registros de auditoría de la actividad de agentes, automatizaciones y sistemas; supervisión de eventos de seguridad.
• Disponibilidad y resiliencia: respaldos cifrados en almacenamiento de acceso restringido; procedimientos de restauración documentados.
• Medidas organizativas: acceso del personal conforme al principio de privilegio mínimo; obligaciones de confidencialidad; revisión de seguridad de proveedores; prácticas de desarrollo seguro; procedimientos de respuesta a incidentes que respaldan los compromisos de notificación del apartado 9.

15. Contacto

Las preguntas sobre este ATD pueden dirigirse a privacy@urdi.ai o legal@urdi.ai.