Acuerdo de tratamiento de datos

1. Partes y alcance

Este Acuerdo de tratamiento de datos ("Acuerdo") se celebra entre el cliente que acepta los Términos del servicio ("Cliente", el responsable del tratamiento) e IMFA Labs LLC, una sociedad de responsabilidad limitada (limited liability company) registrada en Wyoming, Estados Unidos ("IMFA", el encargado del tratamiento). Forma parte de los Términos y se aplica a los datos personales que IMFA trata por cuenta del Cliente al prestar IMFA Agents ("Datos personales del Cliente"). Refleja el artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD), el RGPD del Reino Unido y las leyes similares cuando se aplican.

Si este Acuerdo entra en conflicto con los Términos, prevalece este Acuerdo respecto a los Datos personales del Cliente. Si se aplican las cláusulas contractuales tipo y entran en conflicto con este Acuerdo, prevalecen las cláusulas contractuales tipo.

2. Objeto y duración

IMFA trata los Datos personales del Cliente para prestar el servicio que el Cliente configura: alojar agentes, responder conversaciones en el widget del sitio web, por voz y en los canales conectados, almacenar conocimiento y archivos, captar leads y pedidos, conectar los servicios que elige el Cliente y mantener la seguridad del servicio. El tratamiento dura mientras el Cliente utilice el servicio y hasta la eliminación prevista en la sección 11. Los detalles figuran en el Anexo 1.

3. Obligaciones del Cliente

El Cliente:

• decide qué datos personales entran en el servicio y por qué, y cuenta con una base jurídica para ello;
• proporciona a sus visitantes y clientes los avisos que exige la ley (incluido que están hablando con una IA cuando sea necesario) y obtiene cualquier consentimiento necesario;
• no añade categorías especiales de datos ni datos de menores, salvo que la ley lo permita y el Cliente cuente con todas las garantías necesarias;
• configura adecuadamente sus agentes, canales, el acceso de su equipo y sus integraciones;
• responde a las solicitudes de sus interesados, con la ayuda de IMFA prevista en la sección 8.

4. Obligaciones de IMFA

IMFA:

• trata los Datos personales del Cliente solo siguiendo las instrucciones documentadas del Cliente, que son los Términos, este Acuerdo y la configuración del Cliente en el servicio, salvo que la ley exija otra cosa (en cuyo caso IMFA informa primero al Cliente, salvo que la ley lo prohíba);
• informa al Cliente si considera que una instrucción infringe la legislación de protección de datos;
• no vende los Datos personales del Cliente ni los utiliza para sus propios fines, salvo en la medida necesaria para proteger el servicio, prevenir abusos y cumplir la ley, según se describe en la Política de privacidad;
• no utiliza los Datos personales del Cliente para entrenar modelos de IA.

5. Confidencialidad

IMFA se asegura de que las personas autorizadas a tratar los Datos personales del Cliente estén sujetas a un deber de confidencialidad y accedan a ellos solo en la medida necesaria para prestar, dar soporte y proteger el servicio.

6. Seguridad

IMFA aplica las medidas técnicas y organizativas del Anexo 2, teniendo en cuenta el estado de la técnica, los costes y los riesgos. IMFA puede actualizarlas siempre que la protección global no disminuya.

7. Subencargados del tratamiento

El Cliente otorga a IMFA una autorización general para recurrir a subencargados del tratamiento. La lista actual está en Subencargados del tratamiento. IMFA:

• vincula a cada subencargado mediante contrato escrito a obligaciones de protección de datos al menos tan protectoras como este Acuerdo, de forma adecuada al servicio que presta;
• actualiza la lista antes de añadir o sustituir un subencargado; el Cliente puede pedir que se le informe de los cambios por correo electrónico en privacy@imfa.io;
• permite al Cliente oponerse por motivos razonables de protección de datos en un plazo de 30 días desde la actualización; si las partes no pueden resolver la objeción, el Cliente puede dejar de usar la función afectada o poner fin al servicio, y recibir un reembolso proporcional de las tarifas pagadas por adelantado correspondientes al periodo no utilizado de esa suscripción;
• sigue siendo responsable del cumplimiento de sus subencargados según exige la ley.

Las plataformas que conecta el Cliente (Meta, Telegram, Discord, Google y los métodos de pago a través de Stripe) actúan como responsables independientes de su propio tratamiento y no son subencargados del tratamiento de IMFA.

8. Ayuda con las solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, IMFA ayuda al Cliente a responder a las solicitudes de acceso, rectificación, supresión, limitación o portabilidad de los datos personales, principalmente mediante las herramientas del servicio (consulta y eliminación de conversaciones, leads, archivos y agentes). Cuando las herramientas no son suficientes, el Cliente puede escribir a privacy@imfa.io. Si IMFA recibe una solicitud directamente de un interesado del Cliente, remite a la persona al Cliente cuando puede identificarlo y no responde a la solicitud por sí misma, salvo que el Cliente se lo pida.

9. Violaciones de la seguridad de los datos personales

IMFA notifica al Cliente sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos personales del Cliente, con la información que el Cliente necesita para cumplir sus propias obligaciones, a medida que esté disponible. IMFA toma medidas razonables para contener la violación. Una notificación no constituye un reconocimiento de culpa.

10. Evaluaciones de impacto y autoridades

IMFA presta al Cliente una ayuda razonable con las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control sobre el servicio, utilizando la información de la que dispone, principalmente este Acuerdo, la página de Transparencia sobre la IA y la lista de Subencargados del tratamiento.

11. Devolución y eliminación

El Cliente puede eliminar en cualquier momento, en el servicio, las conversaciones, los archivos, el conocimiento, los agentes y toda su cuenta. Al eliminarse la cuenta, IMFA elimina los Datos personales del Cliente según se describe en la Política de privacidad (tras un periodo de 3 días durante el cual el Cliente puede cancelar la eliminación), salvo cuando la ley exija a IMFA conservarlos. Las copias en las copias de seguridad de los proveedores se eliminan según su calendario habitual. Antes de la eliminación, el Cliente puede solicitar una copia de sus datos en privacy@imfa.io.

12. Auditorías

IMFA pone a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, incluidos este documento, sus anexos y resúmenes de las certificaciones de sus proveedores. Si no es suficiente, el Cliente puede solicitar una auditoría, como máximo una vez al año, con un preaviso de 30 días, a su propio cargo, realizada por un auditor independiente sujeto a confidencialidad, de una manera que no perturbe el servicio ni exponga los datos de otros clientes. Las auditorías de los subencargados están cubiertas por sus propios informes y certificaciones.

13. Transferencias internacionales

IMFA se encuentra en Estados Unidos y sus subencargados tratan datos en los países indicados en el Anexo 3. Cuando los Datos personales del Cliente se transfieren desde el Espacio Económico Europeo, el Reino Unido o Suiza a un país sin decisión de adecuación, las cláusulas contractuales tipo de la UE (Módulo 2, de responsable a encargado, o Módulo 3, de encargado a encargado, según corresponda), con el anexo del Reino Unido y los ajustes suizos cuando se apliquen, se incorporan a este Acuerdo por referencia, con IMFA como importador de datos. IMFA exige garantías equivalentes a sus subencargados.

14. Responsabilidad y vigencia

La responsabilidad de cada parte en virtud de este Acuerdo está sujeta a las limitaciones de los Términos, salvo cuando la ley no las permita. Este Acuerdo permanece vigente mientras IMFA trate Datos personales del Cliente.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas técnicas y organizativas

• Control de acceso: autenticación en cada solicitud del panel de control y de la API; comprobaciones de permisos del lado del servidor en cada función; roles para los agentes compartidos (propietario, editor, lector); herramientas de administración limitadas a los administradores de IMFA.
• Credenciales: claves de API y tokens de acceso almacenados como hashes; credenciales de los canales y tokens de Google almacenados cifrados; los secretos nunca se vuelven a mostrar en el chat del creador.
• Transporte: conexiones cifradas (HTTPS) entre los navegadores, nuestros servicios y nuestros proveedores.
• Aislamiento: los datos de cada cliente se limitan a su propia cuenta y a sus propios agentes en cada consulta.
• Prevención de abusos: límites de uso por visitante, conversación, agente y cuenta; comprobaciones de bots en el widget; controles automatizados de contenido y de seguridad; advertencias y bloqueos de visitantes.
• Protección de datos en la IA: retención cero de datos solicitada en Convex AI Gateway; datos de contacto eliminados antes de calificar leads y de los resúmenes; instrucciones excluidas de las respuestas.
• Minimización y conservación de datos: eliminación automática de conversaciones inactivas, registros y anotaciones según los calendarios de la Política de privacidad; decisiones almacenadas sin el texto de la conversación.
• Registros de actividad: registros de auditoría y de actividad para los cambios sensibles y la actividad de los agentes.
• Proveedores: infraestructura en proveedores con sus propias certificaciones de seguridad (consulta la lista de Subencargados del tratamiento).

Anexo 3: Mecanismos de transferencia internacional