Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos (el «Acuerdo») forma parte de los Términos del servicio celebrados entre Ajansify («Ajansify», «nosotros») y el cliente que utiliza el servicio Ajansify (el «Cliente», «usted»). Se aplica siempre que Ajansify trate Datos Personales del Cliente por cuenta del Cliente. Al aceptar los Términos, el Cliente acepta este Acuerdo; no es necesaria una firma independiente. Cumple los requisitos del artículo 28 del RGPD, del artículo 28 del RGPD del Reino Unido y del artículo 12 de la Ley turca n.º 6698 de Protección de Datos Personales (KVKK).

1. Definiciones

• Legislación Aplicable de Protección de Datos: la KVKK, el RGPD, el RGPD del Reino Unido y cualquier otra ley de protección de datos que se aplique al tratamiento.
• Datos Personales del Cliente: los datos personales contenidos en el contenido que el Cliente o sus usuarios suben al servicio, crean en él o conectan a él, y que Ajansify trata por cuenta del Cliente (Anexo A).
• Subencargado: un tercero al que Ajansify recurre para tratar Datos Personales del Cliente.
• Violación de la Seguridad de los Datos Personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a dichos datos.
• CCT: las cláusulas contractuales tipo que figuran en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión.
• Los demás términos, como responsable del tratamiento, encargado del tratamiento, interesado y tratamiento, tienen el significado que les atribuye la Legislación Aplicable de Protección de Datos. Conforme a la KVKK, responsable del tratamiento se denomina «veri sorumlusu» y encargado del tratamiento, «veri işleyen».

2. Funciones y ámbito de aplicación

• El Cliente es el responsable del tratamiento de los Datos Personales del Cliente o un encargado del tratamiento que actúa por cuenta de otro responsable. Ajansify es el encargado del tratamiento del Cliente, o su subencargado.
• Si el Cliente es un encargado del tratamiento, confirma que su responsable ha autorizado las instrucciones del Cliente, incluido el uso de Ajansify y de sus Subencargados.
• Ajansify es responsable del tratamiento, y no encargado, de los datos de cuentas, facturación, seguridad, marketing, cookies y funcionamiento del servicio. Dicho tratamiento se rige por nuestra Política de privacidad, no por este Acuerdo.

3. Detalles del tratamiento

El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como los tipos de datos personales y las categorías de interesados, se establecen en el Anexo A.

4. Tratamiento conforme a instrucciones documentadas

• Ajansify trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente. Estas son los Términos, este Acuerdo y el uso y la configuración del servicio por parte del Cliente, por ejemplo, generar contenido, conectar servicios, publicar, guardar en el almacenamiento en la nube, compartir mediante enlaces públicos e invitar a miembros del equipo.
• Las instrucciones adicionales deben constar por escrito y ser coherentes con los Términos.
• Informamos al Cliente sin demora si, en nuestra opinión, una instrucción infringe la Legislación Aplicable de Protección de Datos, y podemos suspender dicho tratamiento hasta que la instrucción se confirme o se modifique.
• Si la ley nos obliga a tratar los Datos Personales del Cliente de otro modo, informamos previamente al Cliente, salvo que la ley lo prohíba.
• No utilizamos los Datos Personales del Cliente para nuestros propios fines, salvo para mantener la seguridad del servicio y prevenir el fraude y el abuso, y para elaborar estadísticas agregadas o anonimizadas que no identifiquen al Cliente ni a ninguna persona. No vendemos los Datos Personales del Cliente, no los utilizamos para publicidad ni para entrenar nuestros propios modelos de IA, ni permitimos que los proveedores de IA los utilicen para entrenar sus modelos generales.

5. Obligaciones del Cliente

El Cliente confirma lo siguiente y es responsable de ello:

• dispone de una base jurídica para el tratamiento, incluido el envío de Datos Personales del Cliente a Ajansify, a sus Subencargados y a los proveedores de IA que realizan los trabajos;
• ha facilitado a los interesados la información exigida, incluida la información sobre datos que no se han obtenido de ellos (artículo 14 del RGPD, artículo 10 de la KVKK), por ejemplo, a los autores de reseñas, a las personas que aparecen en fotografías y a sus propios clientes;
• ha obtenido el consentimiento o el permiso de las personas que aparecen en imágenes y vídeos y de las personas cuyas voces se utilizan, cuando la ley lo exija, incluso para las funciones de sincronización labial, voz e imagen con IA;
• no sube categorías especiales de datos personales ni datos de menores, salvo que ello sea lícito y necesario y aplique las garantías exigidas, de conformidad con nuestra Política de IA y uso aceptable;
• sus instrucciones cumplen la ley;
• es responsable de la elección y el uso de los servicios de terceros conectados (herramientas de publicación, almacenamiento en la nube, Google Business Profile). Estos servicios los elige el Cliente y no son Subencargados de Ajansify;
• es responsable de revisar y etiquetar el contenido generado con IA y del contenido que publica.

6. Confidencialidad

Ajansify garantiza que las personas autorizadas para tratar Datos Personales del Cliente están sujetas a una obligación de confidencialidad y solo tienen acceso en la medida en que lo necesiten para su trabajo.

7. Seguridad

• Ajansify aplica medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD y al artículo 12 de la KVKK, tal como se describe en el Anexo B.
• Podemos actualizar estas medidas, siempre que no se reduzca el nivel general de protección.
• El Cliente es responsable de la seguridad de su propia cuenta, incluidas las contraseñas, los permisos del equipo y los enlaces públicos que crea.

8. Subencargados

• El Cliente otorga a Ajansify una autorización general para recurrir a los Subencargados que figuran en Proveedores y subencargados del tratamiento.
• Antes de añadir o sustituir un Subencargado, actualizamos dicha lista y lo notificamos al Cliente por correo electrónico o en la aplicación con al menos 30 días de antelación, cuando sea posible. En casos urgentes, como por motivos de seguridad o de continuidad del servicio, lo notificamos lo antes posible.
• El Cliente puede oponerse por escrito dirigiéndose a [email protected] dentro del plazo de preaviso, por motivos razonables de protección de datos. Examinaremos la oposición de buena fe. Si no podemos resolverla, el Cliente puede dejar de utilizar el servicio afectado cancelando su suscripción antes de que el cambio surta efecto, con arreglo a los Términos y sin perjuicio de sus derechos legales imperativos.
• Imponemos a cada Subencargado, mediante contrato escrito, obligaciones de protección de datos que no ofrezcan menos protección que este Acuerdo. Ajansify sigue siendo responsable ante el Cliente del cumplimiento de sus Subencargados.

9. Asistencia con las solicitudes de los interesados

• El servicio permite al Cliente consultar, rectificar, eliminar y exportar contenido y desconectar servicios, lo que le ayuda a responder a las solicitudes de los interesados.
• Si recibimos directamente una solicitud relativa a Datos Personales del Cliente, la remitimos al Cliente sin dilación indebida y no respondemos nosotros mismos, salvo para redirigir a la persona, a menos que la ley disponga otra cosa.
• Prestamos cualquier otra asistencia razonable, teniendo en cuenta la naturaleza del tratamiento.

10. Evaluaciones de impacto y consulta previa

Facilitamos información y asistencia razonables para las evaluaciones de impacto relativas a la protección de datos del Cliente y para sus consultas previas a las autoridades de control, en la medida en que afecten a nuestro tratamiento. Lo hacemos principalmente a través de este Acuerdo, del Anexo B y de la lista de Subencargados.

11. Violación de la Seguridad de los Datos Personales

• Notificamos al Cliente sin dilación indebida tras tener conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente. Procuramos hacerlo en un plazo de 48 horas.
• La notificación describe, en la medida en que se conozcan: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información puede facilitarse de forma gradual.
• Adoptamos medidas razonables para contener la violación y reducir sus efectos.
• El Cliente decide sobre las notificaciones a las autoridades de control y a los interesados y las realiza; nosotros le prestamos asistencia. Una notificación no constituye un reconocimiento de culpa.
• Enviamos las notificaciones a la dirección de correo electrónico del titular de la cuenta y también podemos mostrarlas en la aplicación.

12. Devolución y supresión

• Mientras la suscripción esté activa, el Cliente puede exportar su contenido con las funciones del servicio.
• Una vez finalizados los Términos o cerrada la cuenta, el Cliente dispone de 30 días para exportar su contenido. A continuación, suprimimos los Datos Personales del Cliente de nuestros sistemas activos. Las copias en las copias de seguridad se suprimen en el ciclo normal de copias de seguridad, en un plazo máximo de 90 días desde el cierre, y entretanto no se tratan activamente.
• Si la ley nos obliga a conservar algunos datos, solo los conservamos durante el tiempo exigido y los protegemos.
• Previa solicitud, confirmamos la supresión por escrito.
• El contenido que el Cliente ha guardado en su propio almacenamiento en la nube o ha publicado a través de servicios conectados se encuentra fuera de nuestros sistemas y no lo suprimimos nosotros.

13. Auditorías

• Ponemos a disposición la información necesaria para demostrar el cumplimiento de este Acuerdo: este Acuerdo, el Anexo B, la lista de Subencargados y respuestas por escrito a un cuestionario de seguridad razonable una vez cada 12 meses.
• Si esta información no es suficiente, si una autoridad de control lo exige o tras una Violación de la Seguridad de los Datos Personales, el Cliente puede realizar una auditoría, incluida una auditoría in situ. El Cliente debe avisar con 30 días de antelación, y la auditoría se realiza en horario laboral, como máximo una vez cada 12 meses (salvo cuando lo exija una autoridad o tras una violación). La realiza el Cliente o un auditor independiente sujeto a confidencialidad que no sea competidor nuestro. El Cliente asume sus propios costes. La auditoría no debe perturbar nuestras operaciones ni dar acceso a datos de otros clientes.
• Las auditorías de las instalaciones de los Subencargados, como los centros de datos, quedan cubiertas por los propios informes de auditoría o certificaciones de los Subencargados, cuando estén disponibles.

14. Transferencias internacionales

• Los Datos Personales del Cliente se alojan en Alemania (UE). Ajansify está establecida en Turquía, y algunos Subencargados se encuentran en Estados Unidos u operan a escala mundial.
• UE/EEE. Cuando el tratamiento implique una transferencia de Datos Personales del Cliente desde la UE/EEE a un país que no cuente con una decisión de adecuación, las CCT se incorporan por referencia: el Módulo dos (de responsable a encargado) cuando el Cliente es responsable del tratamiento, y el Módulo tres (de encargado a encargado) cuando el Cliente es encargado del tratamiento. El Cliente es el exportador de datos y Ajansify, el importador de datos. A efectos de las CCT: se aplica la cláusula 7 (cláusula de incorporación); conforme a la cláusula 9, letra a), se aplica la opción 2 (autorización general) con el plazo de preaviso de la sección 8; no se aplica la redacción opcional de la cláusula 11; conforme a la cláusula 13, la autoridad de control competente es la del Estado miembro en el que está establecido el Cliente o, si no está establecido en la UE, aquel en el que se encuentra su representante o en el que se encuentran los interesados; conforme a la cláusula 17, se aplica la opción 2, y las CCT se rigen por el Derecho del Estado miembro en el que está establecido el Cliente o, si dicho Derecho no reconoce derechos a los terceros beneficiarios o el Cliente no está establecido en la UE, por el Derecho de Irlanda; conforme a la cláusula 18, los litigios se resuelven ante los órganos jurisdiccionales de dicho Estado miembro. El anexo I de las CCT se completa con el Anexo A, el anexo II con el Anexo B y el anexo III con la lista de Subencargados.
• Si la Comisión Europea adopta cláusulas contractuales tipo para importadores que estén ellos mismos sujetos al RGPD, dichas cláusulas se aplicarán en lugar de las CCT anteriores. Hasta entonces, las CCT se aplican en la medida en que proceda, junto con las medidas del Anexo B.
• Las transferencias ulteriores a Subencargados situados en terceros países se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el Subencargado está certificado y, en caso contrario, en las CCT.
• Reino Unido. Para las transferencias sujetas al RGPD del Reino Unido, se incorpora el Addendum de Transferencia Internacional de Datos a las CCT de la UE emitido por el Comisionado de Información del Reino Unido (Information Commissioner), completado con la información de este Acuerdo.
• Turquía. Las transferencias al extranjero de Datos Personales del Cliente se realizan con arreglo a los contratos tipo previstos en el Reglamento sobre los Procedimientos y Principios para la Transferencia de Datos Personales al Extranjero. Ajansify firma los contratos tipo apropiados con sus Subencargados y los notifica a la Autoridad de Protección de Datos Personales (Kişisel Verileri Koruma Kurumu) dentro del plazo legal cuando le corresponde la notificación. Cuando la ley exija que el Cliente sea parte, el Cliente se compromete a firmar el contrato tipo correspondiente.
• Otros países. Cuando otras leyes exijan garantías para las transferencias, las partes aplican las garantías que dichas leyes exijan.
• Si las CCT y este Acuerdo entran en conflicto, prevalecen las CCT.

15. Solicitudes de las autoridades

Si recibimos de una autoridad una solicitud jurídicamente vinculante relativa a Datos Personales del Cliente, informamos al Cliente salvo que la ley lo prohíba, comunicamos únicamente lo mínimo exigido e impugnamos, cuando sea razonable, las solicitudes que parezcan ilícitas o excesivas.

16. Responsabilidad

La responsabilidad de cada parte derivada de este Acuerdo o relacionada con él está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos, salvo cuando la Legislación Aplicable de Protección de Datos, incluidas las CCT, no permita dicha limitación.

17. Duración, prelación y cambios

• Este Acuerdo se aplica mientras Ajansify trate Datos Personales del Cliente, incluso después de que finalicen los Términos y hasta la supresión conforme a la sección 12.
• En caso de conflicto en materia de protección de datos, las CCT prevalecen sobre este Acuerdo, y este Acuerdo prevalece sobre los Términos.
• Podemos actualizar este Acuerdo para reflejar cambios en la ley, en los Subencargados o en el servicio. Notificamos con antelación los cambios significativos por correo electrónico o en la aplicación. Los cambios que reduzcan la protección general de los Datos Personales del Cliente requieren el consentimiento del Cliente.
• Salvo en lo que respecta a las CCT, este Acuerdo se rige por la ley y la jurisdicción establecidas en los Términos.

Anexo A – Detalles del tratamiento

Anexo B – Medidas técnicas y organizativas

• Cifrado en tránsito: HTTPS/TLS para las conexiones al servicio y para las llamadas a los Subencargados.
• Credenciales y claves: contraseñas almacenadas únicamente como hash; claves de acceso a los servicios conectados almacenadas cifradas.
• Control de acceso: permisos basados en funciones y en marcas dentro de las cuentas de los clientes; acceso interno según los principios de necesidad de conocer y de mínimo privilegio; acceso administrativo limitado al personal autorizado.
• Separación: los datos de los clientes están separados lógicamente por cuenta.
• Disponibilidad: copias de seguridad periódicas; alojamiento en centros de datos en Alemania gestionados por Contabo.
• Registro y supervisión: registros de seguridad y de acceso conservados durante 2 años; registros de los trabajos de IA conservados durante un máximo de 1 año con acceso restringido.
• Seguridad de la red: proxy y protección contra ataques de Cloudflare, límites de frecuencia y comprobaciones contra bots.
• Minimización de datos: las copias temporales en el servidor se eliminan tras cada trabajo; los datos de las tarjetas los gestiona la entidad de pago, no Ajansify; solo se accede a los archivos en la nube que selecciona el Cliente, con permisos de alcance limitado.
• Gestión de Subencargados: contratos escritos; proveedores de IA utilizados a través de servicios empresariales (API) sin entrenamiento con Datos Personales del Cliente.
• Gestión de incidentes: tratamiento y notificación de violaciones de la seguridad tal como se describe en la sección 11.
• Personal: obligaciones de confidencialidad; retirada del acceso cuando ya no es necesario.
• Supresión: procedimientos de supresión tal como se describe en la sección 12.

Anexo C – Subencargados

La lista actual de Subencargados, sus finalidades, ubicaciones y garantías para las transferencias se publica en Proveedores y subencargados del tratamiento.