Acuerdo de tratamiento de datos

Partes y ámbito de aplicación

Este Acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre el cliente que ha aceptado nuestros Términos del servicio (el «Cliente», responsable del tratamiento) e IGP Global Solutions FZ-LLC («IGP one», encargado del tratamiento). Se aplica cuando IGP one trata datos personales por cuenta del Cliente en la prestación del Servicio (los «Datos Personales del Cliente»).

Forma parte de los Términos del servicio y se acepta cuando el Cliente acepta dichos Términos. En caso de contradicción entre este Acuerdo y los Términos en materia de protección de datos, prevalece este Acuerdo. Para obtener una copia firmada por ambas partes, escriba a [email protected].

Descripción del tratamiento (Anexo I)

Objeto y finalidad: la prestación del Servicio IGP one, incluidos el agente de IA (en el chat y en el modo de voz), la creación de contenido, la publicación, la gestión de comentarios, mensajes y respuestas a historias, los flujos de comentario a DM, la automatización de respuestas a historias, la captación de leads, las notificaciones y los informes.

Naturaleza del tratamiento: recogida a través de cuentas conectadas, almacenamiento, organización, análisis mediante modelos de IA, generación de respuestas y contenido, transmisión a las plataformas conectadas y supresión.

Duración: la vigencia de la suscripción del Cliente y el plazo de supresión indicado más abajo.

Interesados: las personas que interactúan con la cuenta de Instagram conectada del Cliente (como autores de comentarios, remitentes de mensajes, personas que responden a sus historias y leads) y los miembros del equipo del Cliente.

Categorías de datos: nombres de usuario, nombres y fotos de perfil, identificadores de la plataforma, contenido de mensajes, comentarios y respuestas a historias, datos de contacto y solicitudes que las personas comparten, notas y etiquetas de leads, nombres y direcciones de correo electrónico de los miembros del equipo, e historial de chat del espacio de trabajo (incluidas las transcripciones de las conversaciones por voz; el audio de voz se procesa en tiempo real y no se almacena).

Categorías especiales: no previstas. El Cliente no debe usar el Servicio para recopilar categorías especiales de datos, datos de salud, datos de tarjetas de pago ni números de documentos de identidad.

Frecuencia de la transferencia: continua, mientras se utilice el Servicio. Conservación: según lo establecido en «Supresión y devolución». Autoridad de control competente a efectos de las cláusulas contractuales tipo: la que se determine conforme a la cláusula 13 respecto del Cliente. Subencargados (Anexo III): los que figuran en nuestra página de Subencargados del tratamiento.

Instrucciones del Cliente

IGP one trata los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias internacionales, salvo que la ley le obligue a otra cosa; en tal caso, IGP one informará al Cliente antes del tratamiento, salvo que la ley lo prohíba. Dichas instrucciones son los Términos, este Acuerdo y la configuración y el uso que el Cliente haga del Servicio. IGP one informará al Cliente si considera que una instrucción infringe la normativa de protección de datos.

El Cliente es responsable de contar con una base jurídica y de facilitar a los interesados la información exigida, incluido el hecho de que se utilizan respuestas automatizadas y asistidas por IA.

Confidencialidad

IGP one garantiza que todas las personas autorizadas para tratar los Datos Personales del Cliente están sujetas a una obligación de confidencialidad y solo acceden a ellos en la medida necesaria para prestar el Servicio y darle soporte.

Seguridad (Anexo II)

IGP one aplica medidas técnicas y organizativas apropiadas, entre ellas: cifrado en tránsito y en reposo; almacenamiento principal de los Datos Personales del Cliente en la Unión Europea; aislamiento lógico entre clientes con seguridad a nivel de fila; cifrado a nivel de campo de los tokens de acceso a redes sociales en un almacén seguro; acceso basado en roles; inicio de sesión único y controles de acceso para las herramientas internas; registros de auditoría; copias de seguridad diarias con restauraciones probadas; y supervisión continua de errores y disponibilidad. Los registros del servicio, que no incluyen el contenido de los mensajes, los conserva Better Stack en Estados Unidos. Nuestra página de Seguridad describe estas medidas y puede actualizarse, siempre que no se reduzca el nivel general de protección.

Subencargados del tratamiento

El Cliente otorga a IGP one una autorización general para recurrir a los subencargados del tratamiento que figuran en nuestra página de Subencargados del tratamiento.

IGP one avisa con al menos 30 días de antelación antes de añadir o sustituir un subencargado que trate Datos Personales del Cliente, actualizando dicha página y enviando un correo electrónico a los titulares de las cuentas. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no podemos atender razonablemente la objeción, el Cliente puede resolver la parte afectada del Servicio y recibir el reembolso de las tarifas pagadas por adelantado correspondientes a ella.

IGP one impone a cada subencargado obligaciones de protección de datos que no ofrecen menos protección que este Acuerdo y sigue siendo responsable de sus subencargados.

Transferencias internacionales

Los Datos Personales del Cliente se almacenan en la UE. IGP one puede acceder a ellos desde los Emiratos Árabes Unidos, y los subencargados de IA y de otros servicios pueden tratarlos en Estados Unidos.

Para las transferencias de datos personales sujetos al RGPD a un país sin decisión de adecuación, las partes acuerdan las cláusulas contractuales tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión: el Módulo Dos (de responsable a encargado) entre el Cliente e IGP one, y el Módulo Tres (de encargado a encargado) entre IGP one y sus subencargados cuando sea necesario. Se aplica la cláusula 7 (cláusula de incorporación); la opción de la cláusula 9, letra a), es la autorización general con el plazo de preaviso indicado anteriormente; no se aplica el texto opcional de la cláusula 11; las cláusulas 17 y 18 se rigen por la legislación de Irlanda y las controversias se someten a sus tribunales. Los Anexos I y II son las secciones anteriores.

Para los datos del Reino Unido, se aplica la Adenda de Transferencia Internacional de Datos a las cláusulas contractuales tipo de la UE emitida por el Comisionado de Información del Reino Unido, con las Tablas 1 a 3 cumplimentadas a partir de este Acuerdo y de las cláusulas contractuales tipo. Para los datos de Suiza, se aplican las cláusulas contractuales tipo, entendiéndose las referencias como hechas a la Ley Federal suiza de Protección de Datos, y el Comisionado Federal suizo de Protección de Datos y Transparencia (FDPIC) es una autoridad competente.

Cuando un subencargado esté certificado conforme al Marco de Privacidad de Datos UE-EE. UU., podrá utilizarse dicho marco en su lugar.

Las transferencias sujetas a la PDPL de los EAU o a la legislación israelí se realizan conforme a las normas sobre transferencias de dichas leyes, incluidas las garantías contractuales.

Si IGP one recibe de una autoridad pública una solicitud jurídicamente vinculante relativa a Datos Personales del Cliente, lo notificará al Cliente cuando la ley lo permita, impugnará la solicitud cuando existan motivos razonables para ello y comunicará únicamente el mínimo de datos exigido.

Asistencia al Cliente

IGP one ayuda al Cliente a responder a las solicitudes de los interesados, principalmente mediante herramientas de autoservicio para el acceso, la exportación, la rectificación y la supresión. Si IGP one recibe una solicitud directamente, la remite al Cliente sin dilación indebida y no responde salvo siguiendo sus instrucciones o cuando la ley lo exija.

IGP one presta una ayuda razonable al Cliente en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a las autoridades (artículos 32 a 36 del RGPD), según la información de que disponga, y lleva un registro de las actividades de tratamiento que realiza por cuenta del Cliente.

Violaciones de la seguridad de los datos personales

IGP one notifica al Cliente sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente. La notificación describe lo ocurrido, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas o propuestas, y se actualiza a medida que se conozca más información.

IGP one no notifica a las autoridades ni a los interesados en nombre del Cliente, salvo que el Cliente lo solicite o la ley lo exija.

Supresión y devolución

El Cliente puede exportar los Datos Personales del Cliente en cualquier momento durante la suscripción y durante los 30 días siguientes a su finalización. A elección del Cliente, los datos se devuelven mediante exportación o se suprimen: una vez que el Cliente elimina su cuenta, o 30 días después de la terminación, IGP one suprime los Datos Personales del Cliente, que desaparecen de las copias de seguridad rotativas en un plazo adicional de 35 días, salvo que la ley exija una conservación más prolongada.

Mientras Instagram esté conectado, los mensajes y comentarios se conservan durante 12 meses desde la última actividad en la conversación, y los registros de leads mientras exista la cuenta del Cliente e Instagram siga conectado. Cuando el Cliente desconecta Instagram, el token de acceso se elimina de inmediato y los datos recibidos a través de esa conexión se suprimen en un plazo de 30 días, salvo que la cuenta se vuelva a conectar dentro de ese plazo.

Auditorías

IGP one pone a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, incluidas respuestas por escrito a cuestionarios de seguridad una vez al año. Si ello no fuera suficiente, o si una autoridad lo exige, el Cliente puede realizar una auditoría, una vez al año, con un preaviso de 30 días, en horario laboral, a través de un auditor independiente sujeto a confidencialidad y a cargo del Cliente.

Leyes estatales de privacidad de EE. UU.

A efectos de la CCPA/CPRA y de leyes estatales similares de EE. UU., IGP one actúa como proveedor de servicios o encargado del tratamiento. No venderá ni compartirá los Datos Personales del Cliente; no los conservará, usará ni comunicará fuera de la relación comercial directa ni para ninguna finalidad distinta de la prestación del Servicio; no los combinará con otros datos salvo en la medida en que dichas leyes lo permitan; y notificará al Cliente si deja de poder cumplir estas obligaciones. IGP one certifica que comprende estas restricciones y que las cumplirá.

EAU e Israel

En cuanto a los Datos Personales del Cliente sujetos a la PDPL de los EAU, IGP one los trata únicamente siguiendo instrucciones, garantiza su confidencialidad y seguridad, notifica las violaciones de seguridad según lo indicado anteriormente y los suprime al finalizar el tratamiento. En cuanto a los datos sujetos a la Ley de Protección de la Privacidad de Israel y a su Reglamento de Seguridad de los Datos, IGP one cumple las obligaciones de un poseedor que trata datos por cuenta del Cliente, incluidas las medidas de seguridad, la confidencialidad, la notificación de violaciones de seguridad al Cliente y la devolución o supresión de los datos al término del encargo.

Responsabilidad y vigencia

La responsabilidad de cada parte en virtud de este Acuerdo está sujeta a las limitaciones previstas en los Términos, salvo cuando la ley o las cláusulas contractuales tipo no lo permitan. Este Acuerdo permanece vigente mientras IGP one trate Datos Personales del Cliente.

Contacto

Consultas sobre protección de datos: [email protected]. Copias firmadas y notificaciones legales: [email protected].