Acuerdo de tratamiento de datos

1. Partes y objeto

Este acuerdo de tratamiento de datos (en neerlandés: verwerkersovereenkomst) se celebra entre el cliente que usa Mentiofy (el responsable del tratamiento, "tú") y Trueqrcode, que opera con el nombre comercial Mentiofy, KvK 71264558, Nieuwe Gracht 3, 2011 NB Haarlem, Países Bajos (el encargado del tratamiento, "nosotros").

Se aplica siempre que tratamos datos personales en tu nombre al prestar el servicio conforme a nuestras Condiciones de uso, y forma parte de esas condiciones. Cumple los requisitos del artículo 28 del Reglamento General de Protección de Datos (RGPD). Lo aceptas al aceptar las Condiciones de uso. Si necesitas una copia firmada, escribe a info@mentiofy.com.

2. Definiciones

Términos como datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, interesado, violación de la seguridad de los datos personales y autoridad de control tienen el significado que les da el RGPD. Datos personales del cliente son los datos personales que tú o tus clientes introducís en el servicio, o que tratamos en tu nombre al prestarlo. Subencargado del tratamiento es un tercero al que recurrimos para tratar datos personales del cliente.

3. Qué tratamos y por qué

Tratamos los datos personales del cliente solo para prestar el servicio: medir prompts en motores de IA, analizar las respuestas, elaborar informes, dar soporte y comunicarnos contigo sobre la facturación de tu cuenta. El anexo 1 describe el tratamiento con más detalle.

Tratamos los datos personales del cliente mientras dure el acuerdo y, después, solo en la medida necesaria para devolverlos o eliminarlos, consulta el apartado 11.

4. Tus instrucciones

Solo tratamos los datos personales del cliente siguiendo tus instrucciones documentadas. Las Condiciones de uso, este acuerdo y la forma en que configuras y usas el servicio son tus instrucciones. Si creemos que una instrucción infringe el RGPD u otra normativa de protección de datos, te lo decimos de inmediato. Si la ley nos obliga a tratar los datos de otra forma, te lo decimos primero, salvo que la ley lo prohíba.

Eres responsable de contar con una base jurídica válida para el tratamiento, de informar a los interesados y de los datos que tú o tus clientes introducís en el servicio. Por favor, no introduzcas categorías especiales de datos personales en el servicio.

5. Confidencialidad

Todas las personas de Mentiofy, y todos los subencargados del tratamiento, que tienen acceso a datos personales del cliente están sujetos a un deber de confidencialidad, por contrato o por ley, y solo obtienen acceso en la medida necesaria para su trabajo.

6. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos personales del cliente frente a la pérdida y el tratamiento ilícito, teniendo en cuenta el estado de la técnica, los costes y los riesgos. El anexo 2 enumera estas medidas. Podemos actualizarlas, siempre que el nivel general de protección no disminuya.

7. Subencargados del tratamiento

Nos das una autorización general para recurrir a subencargados del tratamiento. El anexo 3 enumera los actuales. Les imponemos las mismas obligaciones de protección de datos que este acuerdo nos impone a nosotros, y seguimos siendo responsables de ellos frente a ti.

Te avisamos al menos 30 días antes de añadir o sustituir un subencargado del tratamiento, por correo electrónico o en la app. Puedes oponerte por motivos razonables dentro de ese plazo. Si no podemos resolver la objeción, puedes poner fin al acuerdo para la parte afectada del servicio, sin pagar por el periodo restante.

8. Transferencias fuera del EEE

Cuando se transfieren datos personales del cliente fuera del Espacio Económico Europeo, nos aseguramos de que la transferencia cumpla el RGPD, por ejemplo porque el destinatario está certificado conforme al EU-US Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.), porque el país cuenta con una decisión de adecuación, o mediante las Cláusulas Contractuales Tipo de la Comisión Europea con medidas adicionales cuando sea necesario.

9. Cómo te ayudamos

Teniendo en cuenta la naturaleza del tratamiento, te ayudamos a:

• responder a las solicitudes de los interesados que ejercen sus derechos, como el acceso, la rectificación o la supresión. Si un interesado se pone en contacto directamente con nosotros, te remitimos la solicitud y no la respondemos nosotros, salvo que nos lo pidas;
• cumplir tus obligaciones en materia de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control;
• demostrar que cumples el RGPD.

Podemos cobrar costes razonables por la ayuda que vaya más allá de lo que el servicio ofrece normalmente. Te lo comunicamos por adelantado.

10. Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales del cliente, te informamos sin dilación indebida y, en cualquier caso, en un plazo de 48 horas. Te damos la información que necesitas para evaluar la violación y, cuando sea obligatorio, notificarla a la autoridad de control y a los interesados dentro del plazo legal. Esto incluye, en la medida en que se conozca: qué ha ocurrido, qué datos y cuántos interesados se ven afectados, las consecuencias probables y las medidas que hemos tomado o proponemos. Tomamos medidas para limitar las consecuencias y evitar que vuelva a ocurrir.

Notificar una violación a la autoridad de control o a los interesados es tu responsabilidad como responsable del tratamiento, salvo que acordemos otra cosa.

11. Cuando termina el acuerdo

Cuando termina el acuerdo, puedes exportar tus datos durante 30 días. Después eliminamos los datos personales del cliente, incluidas las copias, en un plazo de 90 días, salvo que la ley nos obligue a conservarlos. Las copias de seguridad se sobrescriben en el ciclo normal de copias de seguridad. Si lo solicitas, confirmamos por escrito que los datos se han eliminado.

12. Auditorías

Te damos la información que necesitas para demostrar que cumplimos este acuerdo. Puedes encargar una auditoría, como máximo una vez al año, a un auditor independiente sujeto a confidencialidad, con un preaviso de al menos 30 días y en horario laboral normal. Tú pagas los costes de la auditoría, salvo que esta demuestre que hemos incumplido gravemente este acuerdo. Si tenemos un informe o una certificación independiente reciente que cubra las cuestiones planteadas, podemos facilitarte eso en su lugar.

13. Responsabilidad

Los límites de responsabilidad de las Condiciones de uso también se aplican a este acuerdo. Cada parte sigue siendo responsable de las multas que le imponga una autoridad de control, en la medida en que lo prevea el RGPD.

14. Duración y cambios

Este acuerdo está vigente mientras tratemos datos personales del cliente para ti. Las obligaciones que por su naturaleza continúan, como la confidencialidad y la eliminación, se siguen aplicando después de que termine. Podemos cambiar este acuerdo cuando cambien la ley o nuestro servicio, de la misma forma que se describe para las Condiciones de uso. Si este acuerdo y las Condiciones de uso se contradicen en materia de protección de datos, prevalece este acuerdo.

15. Ley aplicable y conflictos

Se aplica la ley neerlandesa. Los conflictos se someten al tribunal competente del distrito de Noord-Holland, sede de Haarlem. Este acuerdo está redactado en inglés, y la versión en inglés prevalece siempre sobre cualquier traducción.

16. Anexo 1: Descripción del tratamiento

17. Anexo 2: Medidas de seguridad

• Todas las conexiones están cifradas con TLS.
• Los datos se almacenan en un proveedor de alojamiento que cumple estándares de seguridad reconocidos, protegidos frente a ataques por Cloudflare.
• El acceso a los datos personales del cliente está limitado a las personas que lo necesitan, con autenticación en dos pasos en el acceso de administración.
• Las contraseñas se almacenan como hashes con sal, nunca en texto plano.
• Copias de seguridad periódicas, con un procedimiento de restauración probado.
• Registro de los accesos a datos sensibles y supervisión de actividades inusuales.
• Solo enviamos a los proveedores de IA los datos necesarios para cada tarea, con condiciones para empresas que los excluyen del entrenamiento de modelos cuando el proveedor lo ofrece.
• Un procedimiento para gestionar y notificar violaciones de la seguridad de los datos personales.
• Revisión periódica de estas medidas.

18. Anexo 3: Subencargados del tratamiento