Acuerdo de tratamiento de datos

1. Definiciones

Términos como responsable del tratamiento, encargado del tratamiento, subencargado, interesado, datos personales, tratamiento y violación de la seguridad de los datos personales tienen el significado establecido en el UK GDPR y el RGPD de la UE. «Leyes de Protección de Datos» significa el UK GDPR, el RGPD de la UE (Reglamento 2016/679), la UK Data Protection Act 2018 y cualquier otra ley aplicable sobre protección de datos o privacidad.

2. Funciones y alcance

Para los datos personales tratados conforme al acuerdo, el Cliente es el responsable y Clavio el encargado (o, si el Cliente es a su vez encargado para sus usuarios finales, Clavio es subencargado). Clavio trata datos personales únicamente para prestar y dar soporte al Servicio. El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se describen en el Anexo A a continuación.

3. Obligaciones del Encargado (artículo 28)

Clavio deberá:

• Instrucciones documentadas — tratar datos personales solo conforme a las instrucciones documentadas del Cliente (incluidas las del acuerdo y este DPA), salvo obligación legal distinta, en cuyo caso Clavio informará antes al Cliente cuando sea lícito hacerlo.
• Confidencialidad — garantizar que las personas autorizadas para tratar los datos personales estén sujetas a un deber adecuado de confidencialidad.
• Seguridad — aplicar las medidas técnicas y organizativas descritas en §6 y en el Anexo B (artículo 32).
• Subencargados — contratar subencargados únicamente conforme a §5.
• Asistencia con los derechos de los interesados — teniendo en cuenta la naturaleza del tratamiento, ayudar al Cliente mediante medidas apropiadas a responder a solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición).
• Asistencia con el cumplimiento — ayudar al Cliente a garantizar el cumplimiento de los artículos 32–36 (seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa), teniendo en cuenta la información disponible para Clavio.
• Supresión o devolución — a elección del Cliente, suprimir o devolver todos los datos personales tras finalizar la prestación de servicios y suprimir las copias existentes, salvo que la ley exija conservarlas (véase §8).
• Auditorías — facilitar la información necesaria para demostrar el cumplimiento del artículo 28 y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor autorizado por él, con sujeción a medidas razonables de confidencialidad y seguridad.

4. Violación de la seguridad de los datos personales

Clavio notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a los datos personales del Cliente y proporcionará la información razonablemente disponible para ayudarle a cumplir sus propias obligaciones de notificación a las autoridades de control y a los interesados conforme a los artículos 33 y 34.

5. Subencargados

El Cliente concede una autorización general para que Clavio contrate subencargados para prestar el Servicio. Los subencargados actuales de Clavio figuran en nuestra Política de privacidad y se enumeran a continuación. Clavio impondrá a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA y seguirá siendo responsable de su cumplimiento. Clavio informará al Cliente de los cambios previstos en sus subencargados y le dará la oportunidad de oponerse por motivos razonables de protección de datos.

• Anthropic — mejora mediante IA del texto transcrito; trata transcripciones y contenido dictado.
• OpenAI (Whisper) — transcripción de voz a texto; trata grabaciones de voz.
• Groq — puede proporcionar transcripción de voz a texto cuando está configurado; trata grabaciones de voz y datos de inferencia relacionados bajo los controles de datos aplicables a la cuenta.
• Lemon Squeezy — procesamiento de pagos y facturación de suscripciones como Merchant of Record; trata datos de cuenta e identidad (nombre, correo electrónico), información de facturación y pago, y país a efectos fiscales.
• Apple — inicio de sesión y verificación de identidad; trata datos de cuenta e identidad.
• Google — inicio de sesión y verificación de identidad; trata datos de cuenta e identidad.
• Railway — alojamiento de aplicaciones e infraestructura de bases de datos; puede tratar todas las categorías descritas en el Anexo A.
• GitLab — distribución de software y herramientas operativas; trata datos de diagnóstico y operaciones.

6. Medidas de seguridad (artículo 32)

Clavio mantiene medidas técnicas y organizativas apropiadas para proteger los datos personales, incluidas: cifrado de datos en tránsito (TLS); almacenamiento únicamente de tokens de autenticación con hash en lugar de contraseñas; controles de acceso según la necesidad de conocer; uso de proveedores de infraestructura de confianza; y prácticas operativas diseñadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas del Servicio. El Anexo B resume estas medidas.

7. Transferencias internacionales

Cuando el tratamiento conforme a este DPA implique una transferencia de datos personales fuera del Reino Unido o del EEE a un país sin decisión de adecuación, las partes acuerdan que dichas transferencias estarán sujetas a garantías apropiadas conforme al artículo 46: las Cláusulas Contractuales Tipo de la Comisión Europea (EU 2021/914) y, para transferencias del Reino Unido, el Acuerdo Internacional de Transferencia de Datos del Reino Unido / Anexo del Reino Unido, que se incorporan por referencia y se completan con los datos de los Anexos. Firmamos estas cláusulas sin negociación de forma habitual.

8. Duración, supresión y devolución

Este DPA se aplica mientras Clavio trate datos personales por cuenta del Cliente. Al finalizar o vencer el Servicio, y a elección del Cliente, Clavio suprimirá o devolverá sus datos personales y suprimirá las copias existentes, con sujeción a breves plazos de rotación de copias de seguridad y a cualquier conservación legalmente exigida.

9. Anexo A — Detalles del tratamiento

• Objeto y naturaleza: prestación de un servicio de dictado por voz con IA: captura, transmisión, transcripción y mejora del dictado, y gestión de cuentas y suscripciones.
• Finalidad: prestar el Servicio al Cliente y a sus usuarios autorizados.
• Duración: durante la vigencia del acuerdo, más cualquier periodo limitado de cierre conforme a §8.
• Categorías de interesados: usuarios autorizados del Cliente (por ejemplo, empleados o miembros del equipo).
• Tipos de datos personales: datos de cuenta e identidad (identificador de usuario, nombre, correo electrónico, incluidas las direcciones de retransmisión privada de Apple); grabaciones de voz y transcripciones; información de suscripción, facturación y pago (gestionada por nuestro Merchant of Record, Lemon Squeezy), incluido el país a efectos fiscales; datos de uso, diagnóstico y dispositivo/sistema operativo.
• Categorías especiales de datos: grabaciones de voz, tratadas temporalmente para producir transcripciones; no se utilizan para entrenar modelos de IA.

10. Anexo B — Medidas de seguridad (resumen)

• Cifrado de datos personales en tránsito (TLS).
• Autenticación mediante proveedores de identidad con sesión iniciada; almacenamiento únicamente de tokens con hash, no de contraseñas.
• Controles de acceso a sistemas y datos basados en roles y en la necesidad de conocer.
• Uso de subencargados de infraestructura e IA de confianza, con seguridad revisada y sujetos a condiciones de protección de datos.
• Registro y supervisión para detectar eventos de seguridad y responder a ellos, y un proceso para notificar al Cliente las violaciones de la seguridad de los datos personales.
• Medidas diseñadas para restaurar oportunamente la disponibilidad y el acceso a los datos personales tras un incidente.

11. Contacto

Para solicitar o firmar este DPA, o plantear preguntas sobre él, contacte con office@justetools.co.uk .