Acuerdo de tratamiento de datos

1. Partes y ámbito de aplicación

El presente Acuerdo de tratamiento de datos («DPA») se celebra entre el cliente de Chativ («Responsable del tratamiento») y FOP Herasymiuk Nataliia Borysivna, 78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine, RNOKPP 2871021324 («Encargado del tratamiento»), de conformidad con el artículo 28 del RGPD. Forma parte de los Términos de servicio y se acepta al crear la cuenta; no se requiere firma por separado.

El DPA se aplica a los datos personales de los clientes del Responsable del tratamiento que el Encargado del tratamiento trata al prestar el Servicio.

2. Objeto, naturaleza y duración

Objeto: recepción y envío de mensajes a través de los canales conectados, generación de respuestas de IA, almacenamiento del historial de conversaciones y de los leads. Duración: durante la vigencia de los Términos de servicio y hasta la supresión de los datos conforme a la sección 9.

3. Categorías de datos y de interesados

Interesados: los clientes del Responsable del tratamiento y los visitantes del sitio web que escriben al Responsable del tratamiento a través de los canales conectados; el personal del Responsable del tratamiento que utiliza el espacio de trabajo.

Datos de contacto: nombre, nombre de usuario, número de teléfono, dirección de correo electrónico — si los facilita el interesado o el canal
Contenido de los mensajes y archivos adjuntos
Identificadores de canal (por ejemplo, el ID de usuario de Instagram o Facebook) y datos técnicos del widget
Datos de leads que el Responsable del tratamiento recopila a través del agente de IA

4. Obligaciones del Encargado del tratamiento

Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable del tratamiento, que son los Términos, el presente DPA y la configuración realizada en el espacio de trabajo
Garantizar que las personas con acceso a los datos estén sujetas a obligaciones de confidencialidad
Aplicar las medidas de seguridad descritas en la sección 6
Asistir al Responsable del tratamiento en la atención de las solicitudes de los interesados y en el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del RGPD
Informar al Responsable del tratamiento si, en su opinión, una instrucción infringe la normativa de protección de datos

5. Subencargados del tratamiento

El Responsable del tratamiento otorga una autorización general para recurrir a los subencargados del tratamiento enumerados en la página de Subencargados del tratamiento. El Encargado del tratamiento anunciará los nuevos subencargados en dicha página y por correo electrónico con al menos 30 días de antelación; el Responsable del tratamiento podrá oponerse por motivos razonables y, si no se encuentra una solución, rescindir el Servicio. El Encargado del tratamiento impone a los subencargados obligaciones de protección de datos equivalentes a las del presente DPA y sigue siendo responsable de ellos.

6. Medidas de seguridad

Cifrado de todas las conexiones (TLS)
Hash de las contraseñas; cifrado adicional de las claves de API y de los tokens de acceso a los canales en la base de datos
Separación estricta de los datos entre espacios de trabajo; acceso solo para usuarios autorizados con roles
Alojamiento en la UE (Países Bajos)
Acceso del personal del Encargado del tratamiento a los datos de producción solo cuando sea necesario para soporte o mantenimiento

7. Violaciones de la seguridad de los datos personales

El Encargado del tratamiento notifica al Responsable del tratamiento cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de ella, facilitando la información disponible para la notificación del Responsable del tratamiento a la autoridad de control.

8. Transferencias internacionales

Los datos se almacenan en la UE. Cuando los subencargados del tratamiento tratan datos fuera del EEE (por ejemplo, proveedores de IA en EE. UU.), la transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. o en las Cláusulas Contractuales Tipo de la Comisión Europea.

9. Supresión y devolución de los datos

Durante la vigencia, el Responsable del tratamiento puede eliminar los leads en el espacio de trabajo y solicitar la exportación o supresión de cualquier otro dato en [email protected]; el Encargado del tratamiento atiende dichas solicitudes en un plazo de 30 días. Una vez finalizado el Servicio, el Encargado del tratamiento suprime los datos del Responsable del tratamiento en un plazo de 30 días, salvo que la ley exija conservarlos, y, previa solicitud, facilita una exportación antes de la supresión.

10. Auditorías

Previa solicitud, el Encargado del tratamiento facilita la información necesaria para demostrar el cumplimiento del presente DPA. Las auditorías in situ son posibles con un preaviso de 30 días, no más de una vez al año y a cargo del Responsable del tratamiento, salvo que se haya producido una violación.

11. Contacto

Consultas sobre protección de datos: [email protected].