Acuerdo de Tratamiento de Datos
1. Definiciones
Los términos en mayúscula no definidos aquí tienen el significado establecido en las Condiciones Generales del Servicio. «Datos personales», «tratamiento», «interesado», «responsable del tratamiento» y «encargado del tratamiento» tienen el significado que les atribuye el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) («RGPD»).
2. Funciones — reparto entre la operación del Servicio y el tratamiento del contenido
La relación entre las partes tiene dos ámbitos distintos:
- Operación del Servicio (ámbito de responsable del tratamiento del Prestador de servicios). Respecto de los datos de cuenta, los registros de facturación, los registros de auditoría y los datos de seguridad, el Prestador de servicios es el responsable del tratamiento. Este ámbito se rige por la Política de privacidad, no por el presente DPA.
- Tratamiento del contenido (ámbito de encargado del tratamiento). Respecto de las imágenes enviadas por el Cliente, los informes generados y los metadatos de análisis asociados a ese contenido, el Cliente es el responsable del tratamiento y el Prestador de servicios es el encargado del tratamiento. El presente DPA rige únicamente este ámbito.
Las instrucciones de tratamiento documentadas del Cliente consisten en: (a) las Condiciones Generales del Servicio; (b) el presente DPA; (c) la interfaz del Servicio y los parámetros de la API que el Cliente utiliza al enviar contenido (incluida la selección de prompt, la selección de plantilla y, para los clientes de Agency / API, la identificación del model o del usuario final en cuyo nombre se realiza el análisis); y (d) cualquier pedido o configuración de producto aplicable.
3. Objeto y duración
- Objeto: análisis basado en IA de las imágenes enviadas por el Cliente y generación de informes.
- Duración: mientras la cuenta del Cliente permanezca activa, más cualquier periodo de conservación exigido por la ley o indicado en la Política de privacidad.
- Naturaleza y finalidad: análisis automatizado de imágenes y generación de informes según lo configurado por el Cliente a través de la interfaz del Servicio o de la API.
- Categorías de datos: véase /legal/data-processing.
- Categorías de interesados: el Cliente (si es usuario del Model Tool); los models, clientes o usuarios finales del Cliente; las personas representadas en el contenido enviado.
4. Responsabilidades del Cliente
El Cliente declara y garantiza que:
- el Cliente dispone de una base jurídica válida con arreglo a la ley aplicable para el tratamiento que ordena realizar al Prestador de servicios, incluidos los consentimientos necesarios de los interesados representados en el contenido enviado o asociados a él.
- el Cliente ha proporcionado a sus propios usuarios e interesados todas las informaciones y comunicaciones exigidas por la ley aplicable (incluidos, cuando proceda, los artículos 13 y 14 del RGPD).
- el Cliente es el único responsable de la licitud de los datos que envía, incluido el cumplimiento de las leyes relativas al contenido aplicables a las operaciones del Cliente (incluidas, cuando proceda, las obligaciones de verificación de la edad, los requisitos de conservación de registros para los productores de contenido sexualmente explícito y cualquier obligación equivalente en las jurisdicciones donde se encuentren el Cliente o sus usuarios finales).
- el Cliente es el único responsable del cumplimiento en materia de transferencias transfronterizas de cualquier dato personal que transmita al Prestador de servicios.
- el Cliente no enviará datos personales de menores, datos sensibles fuera del ámbito ordinario del Servicio, ni ningún dato cuyo envío sea ilícito en la jurisdicción del Cliente o en cualquier jurisdicción donde se encuentren los interesados.
- cuando el Cliente sea cliente de Agency Tool, declara que mantiene la relación necesaria con los models representados y dispone de los consentimientos necesarios para enviar su contenido para análisis.
- cuando el Cliente sea cliente de la API, declara que sus propios usuarios finales han otorgado los consentimientos necesarios y que el uso del Servicio por parte del Cliente en su nombre es lícito.
5. Obligaciones del Prestador de servicios
El Prestador de servicios se compromete a:
- tratar los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, salvo cuando lo exija la ley.
- garantizar que el personal autorizado para tratar los datos personales esté sujeto a un deber de confidencialidad.
- aplicar medidas técnicas y organizativas apropiadas según se describe en /legal/security.
- asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento, para responder a las solicitudes de los interesados, los incidentes de seguridad y las evaluaciones de impacto, a expensas razonables del Cliente para la asistencia no rutinaria.
- poner a disposición la información necesaria para demostrar el cumplimiento del presente DPA, incluida la facilitación de una lista actual de subencargados del tratamiento en /legal/subprocessors.
- a elección del Cliente, suprimir o devolver los datos personales al finalizar el tratamiento, sin perjuicio de la conservación exigida por la ley.
6. Limitaciones de uso específicas
El Prestador de servicios garantiza que el contenido del Cliente se trata únicamente con el fin de proporcionar el análisis solicitado. El Prestador de servicios no:
- utilizará el contenido del Cliente para entrenar, mejorar o evaluar modelos de IA;
- creará perfiles de usuario ni inferencias de comportamiento a partir del uso del Cliente;
- venderá, compartirá ni revelará de otro modo datos personales para publicidad comportamental de contexto cruzado;
- combinará los datos del Cliente con los de otros clientes para ningún fin distinto de las métricas operativas agregadas que no contienen datos personales;
- identificará a las personas representadas en el contenido enviado (sin reconocimiento facial, cotejo biométrico ni consulta a bases de datos externas).
7. Subencargados del tratamiento
El Cliente autoriza al Prestador de servicios a recurrir a subencargados del tratamiento para la operación del Servicio. Los subencargados del tratamiento actuales se enumeran en /legal/subprocessors. El Prestador de servicios:
- mantendrá una lista pública actualizada de subencargados del tratamiento;
- proporcionará un mecanismo razonable para que el Cliente reciba notificación de nuevos subencargados del tratamiento antes de que comiencen el tratamiento (normalmente con 30 días de antelación a través de la lista publicada y, cuando el Cliente se haya registrado para ello, mediante notificaciones por correo electrónico);
- impondrá a cada subencargado del tratamiento obligaciones contractuales sustancialmente equivalentes a las del presente DPA;
- seguirá siendo responsable de los actos y omisiones de los subencargados del tratamiento respecto de sus obligaciones en virtud del presente DPA.
El Cliente podrá oponerse a un nuevo subencargado del tratamiento por motivos razonables de protección de datos. Si las partes no pueden resolver la objeción, el único recurso del Cliente es resolver el Servicio de conformidad con las Condiciones Generales del Servicio.
8. Seguridad
El Prestador de servicios aplica medidas técnicas y organizativas diseñadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo para los interesados. Las medidas vigentes se describen en /legal/security.
9. Violación de la seguridad de los datos personales
El Prestador de servicios notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente, facilitando la información razonablemente disponible para permitir al Cliente cumplir sus obligaciones de notificación a las autoridades o a los interesados con arreglo a los artículos 33 y 34 del RGPD. La notificación del Prestador de servicios no constituye un reconocimiento de culpa o responsabilidad.
10. Solicitudes de los interesados
Cuando el Prestador de servicios reciba una solicitud de un interesado relativa al tratamiento del Cliente, el Prestador de servicios, cuando sea lícito, redirigirá la solicitud al Cliente y le prestará asistencia para responderla. Para los clientes del Model Tool, el interesado y el Cliente serán normalmente la misma persona, en cuyo caso el Prestador de servicios podrá gestionar la solicitud directamente.
11. Transferencias internacionales
El Prestador de servicios está establecido en the Republic of Cyprus, un Estado miembro de la UE. Por tanto, el envío de datos personales al Servicio constituye un tratamiento dentro de la Unión Europea y no es, en sí mismo, una transferencia internacional a efectos del capítulo V del RGPD.
Cuando el Prestador de servicios recurra a subencargados del tratamiento situados fuera del Espacio Económico Europeo, las transferencias se rigen por las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914), Módulo Tres (de encargado del tratamiento a encargado del tratamiento), incorporadas por referencia, actuando el Prestador de servicios como exportador de datos. Las regiones de los subencargados del tratamiento se enumeran en /legal/subprocessors.
Cuando el Cliente, actuando como responsable del tratamiento, desee acogerse a las CCT del Módulo Dos (de responsable del tratamiento a encargado del tratamiento) para sus propias transferencias en relación con el Servicio, las CCT adoptadas por la Comisión Europea en la Decisión (UE) 2021/914 quedan incorporadas por referencia, actuando el Prestador de servicios como importador de datos.
12. Auditoría
El Prestador de servicios pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento del presente DPA. Cuando la ley aplicable exija la posibilidad de una auditoría in situ, el Cliente podrá solicitar dicha auditoría como máximo una vez al año, con un preaviso por escrito de al menos 30 días, en horario laboral, con sujeción a restricciones razonables de confidencialidad y seguridad, y a expensas del Cliente. Las partes podrán acordar que un informe independiente de un tercero (por ejemplo, SOC 2 Type II, cuando esté disponible) satisfaga la obligación de auditoría.
13. Responsabilidad e indemnización
El Cliente indemnizará al Prestador de servicios por las reclamaciones, pérdidas y responsabilidades derivadas de instrucciones de tratamiento ilícitas del Cliente o del incumplimiento de la sección 4. La responsabilidad de cada parte en virtud del presente DPA está sujeta a las limitaciones de responsabilidad establecidas en las Condiciones Generales del Servicio.
14. Derecho aplicable y fuero
El presente DPA se rige por la legislación de the Republic of Cyprus, sin consideración a sus normas de conflicto de leyes. Las partes se someten a la jurisdicción exclusiva de los tribunales de la República de Chipre, salvo cuando la ley aplicable exija un fuero distinto. Los derechos imperativos de protección de los consumidores y los derechos de los interesados en virtud del RGPD y de otras leyes imperativas aplicables no se renuncian por medio de la presente cláusula.
15. Orden de prelación
En caso de conflicto entre el presente DPA y las Condiciones Generales del Servicio respecto del tratamiento de datos personales, prevalecerá el presente DPA. En caso de conflicto entre el presente DPA y un DPA de contrato Pro con firma de contraparte suscrito por el mismo Cliente, prevalecerá para ese Cliente el acuerdo con firma de contraparte.