Kreedl - Contrato de encargo del tratamiento

«Datos personales», «responsable del tratamiento», «encargado del tratamiento», «tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que se les atribuye en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (el «RGPD»). «Datos Personales del Cliente» son los datos personales que el Cliente facilita o pone a disposición de Kreedl, o que Kreedl recopila por cuenta del Cliente al prestar los servicios, incluidos el contenido de las comunicaciones, las grabaciones y las transcripciones, con independencia de que los datos identifiquen al Cliente o a un tercero que establece una relación contractual con el Cliente. «Subencargado» es cualquier tercero al que Kreedl recurra para tratar Datos Personales del Cliente. «UK GDPR» es el RGPD tal como ha quedado incorporado al Derecho del Reino Unido.

El Cliente es el responsable del tratamiento de los Datos Personales del Cliente. Kreedl es el encargado del tratamiento de dichos datos. Kreedl es responsable independiente del tratamiento únicamente respecto de los datos de cuenta, facturación, uso y marketing del propio Cliente, o cuando un tercero utiliza los servicios de Kreedl sin haber establecido una relación contractual con el Cliente. Estas actividades se describen con más detalle en el documento de Kreedl titulado Política de privacidad, disponible en kreedl.com/es/privacy (la «Política de privacidad»).

Objeto y finalidad. La explotación de un asistente de IA que se comunica por cuenta del Cliente con inquilinos, residentes, usuarios de instalaciones, solicitantes, proveedores y otras personas por teléfono, WhatsApp, SMS y correo electrónico, y que lleva a cabo las acciones que el Cliente ha autorizado.

Naturaleza del tratamiento. Recepción, grabación, transcripción, almacenamiento, análisis y resumen de comunicaciones; consulta o almacenamiento de los registros del Cliente según el modo elegido (sección 4); concertación de citas; envío de proveedores; y, cuando se encargue, clasificación de solicitantes o resumen de información públicamente disponible sobre posibles inquilinos.

Categorías de interesados. Inquilinos, residentes, posibles inquilinos o compradores, responsables de tienda y usuarios de instalaciones, proveedores y técnicos, empleados y representantes del Cliente, y cualquier otra persona que se ponga en contacto con un edificio al que Kreedl presta servicio.

Tipos de datos personales. Nombre, datos de contacto, edificio y vivienda o local, duración y condiciones del arrendamiento, importe de la renta y estado de los pagos, documentos del contrato de arrendamiento, avisos de averías, fotos, notas de voz, grabaciones de llamadas, transcripciones, contenido de los mensajes y metadatos. En el caso de posibles inquilinos o compradores, además, la fecha prevista de entrada, el número de miembros del hogar, la situación laboral, los ingresos, la forma de financiación y las referencias, cuando el Cliente los requiera para evaluar la solicitud. Cuando el Cliente encargue la verificación de la identidad, podrán cotejarse las cuatro últimas cifras del número de identificación nacional checo con los registros del Cliente; el número completo no se almacena. Kreedl no trata códigos de puertas ni otras credenciales de acceso físico.

Duración. Los datos personales se tratan durante la vigencia del servicio contratado y, posteriormente, hasta que se completen la devolución y la supresión conforme a la sección 12. Las partes fijan los plazos de conservación de los datos de forma que reflejen la naturaleza propia del servicio prestado. En particular, aunque no exclusivamente, los plazos de conservación tienen en cuenta la finalización de las relaciones de arrendamiento entre el Cliente y terceros, la protección de los intereses legítimos del Responsable del tratamiento en relación con sus inmuebles y los plazos de conservación obligatorios establecidos por la legislación de aplicación general.

4.1 El Cliente elige uno de los tres modos descritos en la Política de privacidad. Modo A: sin acceso a los registros del Cliente. Modo B: acceso de lectura a los sistemas del Cliente sin almacenar registros. Modo C: registros del Cliente almacenados por Kreedl. En todos los modos, Kreedl almacena el contenido de las comunicaciones, las grabaciones, las transcripciones y los datos de contacto de las personas que se comunican con él.

4.2 Las instrucciones documentadas del Cliente consisten en el modo elegido, la configuración acordada durante la puesta en marcha, los ajustes que el Cliente realiza en la aplicación de Kreedl, los datos que el Cliente carga o pone a disposición y cualquier instrucción escrita enviada a [email protected]. La carga de datos, la activación de una suscripción, la creación de un perfil o cualquier otra forma de facilitar datos a Kreedl constituye una instrucción del Cliente para tratar dichos datos a los efectos de la sección 3.

4.3 El Cliente puede cambiar el modo o sus instrucciones en cualquier momento por correo electrónico, en la aplicación o mediante una conducta de la que se desprenda claramente el cambio. Kreedl aplica los cambios en un plazo de 14 días.

4.4 Kreedl puede rechazar una instrucción que, en su opinión razonable, infrinja el RGPD u otra normativa, e informará de ello al Cliente. Kreedl también puede tratar Datos Personales del Cliente cuando así lo exija el Derecho de la Unión o de los Estados miembros; en tal caso, informará al Cliente salvo que la ley lo prohíba.

El Cliente declara y se compromete a que:

• dispone de una base jurídica válida, y la determina correctamente, para todos los Datos Personales del Cliente que obtiene y transmite a Kreedl y para cada comunicación que encarga iniciar a Kreedl. El Cliente es el único responsable de la falta de base jurídica para facilitar o transmitir los datos;
• cumple el deber de informar a los interesados conforme a los artículos 12, 13 y 14 del RGPD, lo que incluye publicar la información para llamantes que figura en la Parte A de las Condiciones de cumplimiento normativo de Kreedl, y asume ese deber en exclusiva con independencia de que Kreedl publique información sobre la actividad de que se trate en su Política de privacidad. Lo anterior se entiende sin perjuicio del deber de información de Kreedl en su condición de responsable independiente del tratamiento;
• cuando encargue a Kreedl recopilar información públicamente disponible sobre posibles inquilinos, informará a dichas personas del origen de los datos a más tardar en el primer contacto;
• cuando facilite números de identificación nacional checos, cumplirá el artículo 13c de la Ley n.º 133/2000 Sb.;
• es responsable de los límites de autonomía que establezca y de la gestión de los asuntos escalados;
• adopta medidas técnicas y de implementación que garanticen la máxima protección posible de los datos personales de los interesados, y es el único responsable de ellas, salvo que los datos se encuentren en un dispositivo o en una base de datos en poder exclusivo de Kreedl o gestionados exclusivamente por Kreedl;
• sus instrucciones son conformes a la ley. El Cliente es el único responsable de la licitud de sus instrucciones y de cualquier sanción relacionada con su incumplimiento. Si cualquiera de las partes llega a la conclusión de que la ejecución de una instrucción del Cliente puede estar supeditada a una evaluación de impacto relativa a la protección de datos («EIPD»), la instrucción quedará en suspenso hasta que su licitud haya sido confirmada sobre la base de una EIPD, cuyo coste correrá a cargo del Cliente. No obstante, Kreedl no está obligado a revisar activamente ni a verificar de otro modo la licitud de las instrucciones del Cliente.

Kreedl:

• trata los Datos Personales del Cliente exclusivamente siguiendo las instrucciones documentadas del Cliente y únicamente para los fines de la sección 3;
• garantiza que las personas autorizadas para tratar Datos Personales del Cliente estén sujetas a acuerdos de secreto y confidencialidad, cuando Kreedl las haya autorizado a realizar el tratamiento;
• aplica las medidas técnicas y organizativas del Anexo 1;
• no utiliza Datos Personales del Cliente para entrenar ni ajustar (fine-tuning) ningún modelo de IA;
• asiste al Cliente en relación con las solicitudes de los interesados (sección 9), la seguridad, la notificación de violaciones de seguridad y las evaluaciones de impacto relativas a la protección de datos (sección 10), teniendo en cuenta la naturaleza del tratamiento;
• suprime o devuelve los Datos Personales del Cliente conforme a la sección 12;
• pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite auditorías conforme a la sección 11;
• mantiene separados los datos puestos a su disposición por el Cliente de los datos que trata como responsable independiente del tratamiento;
• adopta medidas técnicas y de implementación que garanticen la máxima protección posible de los datos personales de los interesados cuando los datos se encuentren en un dispositivo o en una base de datos en poder exclusivo de Kreedl o gestionados exclusivamente por Kreedl.

7.1 El Cliente otorga a Kreedl una autorización general para recurrir a subencargados. La lista actual figura en la sección 7 de la Política de privacidad, disponible en kreedl.com/es/privacy.

7.2 Kreedl notifica al Cliente por correo electrónico la incorporación o sustitución de un subencargado con al menos 14 días de antelación a que el cambio surta efecto.

7.3 Si el Cliente se opone en un plazo de 14 días desde la notificación por motivos razonables de protección de datos, Kreedl podrá proponer una alternativa. Si no se alcanza un acuerdo, el único recurso del Cliente será resolver los servicios afectados mediante notificación escrita, sin penalización por la parte resuelta, con efectos desde la fecha en que surta efecto el cambio de subencargado. Kreedl no está obligado a cambiar de subencargado.

7.4 Kreedl impone a cada subencargado obligaciones de protección de datos no menos estrictas que las del presente DPA y sigue siendo responsable de su cumplimiento.

7.5 Cuando Kreedl recurra a un nuevo subencargado, Kreedl será responsable de indicar la identidad del nuevo subencargado en la Política de privacidad y de notificarlo al Cliente conforme a la cláusula 7.2, para que el Cliente pueda cumplir su deber de información conforme a la sección 5.

Kreedl almacena los Datos Personales del Cliente en la Unión Europea. El tratamiento de IA y la telefonía pueden implicar a proveedores situados fuera del EEE o del Reino Unido. Para cada una de estas transferencias, Kreedl se basa en las cláusulas contractuales tipo de la UE, en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté certificado) o, para los datos del Reino Unido, en el Anexo de Transferencia Internacional de Datos del Reino Unido. Kreedl ofrece, previa solicitud por escrito, una configuración de tratamiento exclusivamente en la UE; solicitarla es responsabilidad del Cliente. El Cliente autoriza a Kreedl a suscribir en su nombre las cláusulas contractuales tipo con los subencargados. El Anexo del Reino Unido está disponible previa solicitud.

Cuando Kreedl reciba una solicitud de un interesado relativa a Datos Personales del Cliente, la trasladará al Cliente en un plazo de 3 días hábiles y no responderá sobre el fondo sin instrucciones. Kreedl presta una asistencia razonable para que el Cliente pueda responder dentro de los plazos legales. La asistencia que supere cinco solicitudes al mes, o que requiera un esfuerzo superior al razonable, se facturará conforme a la tarifa horaria vigente de Kreedl.

10.1 Kreedl notifica al Cliente cualquier violación de la seguridad de los Datos Personales del Cliente sin dilación indebida y, a más tardar, en las 48 horas siguientes a haber tenido conocimiento de ella. La notificación inicial contiene la información conocida en ese momento. Las partes se prestan mutuamente la asistencia necesaria conforme a los artículos 33 y 34 del RGPD para eliminar los riesgos, las consecuencias de la violación y las multas de la autoridad de control, y para investigar con éxito la violación.

10.2 La notificación a la autoridad de control y a los interesados corresponde a la parte que gestiona la base de datos o el dispositivo en el que se haya producido la violación de la seguridad de los datos personales.

10.3 Cuando el Cliente deba realizar una EIPD, Kreedl le facilitará una descripción del tratamiento, las medidas del Anexo 1 y la información adicional razonable que sea estrictamente necesaria para elaborar la EIPD. La evaluación la completa, aprueba y asume el Cliente. El Cliente soporta el coste de la elaboración de la EIPD.

10.4 Sin perjuicio de la aprobación del Cliente conforme a la cláusula 10.3, Kreedl no está obligado a ejecutar una instrucción del Cliente cuando, pese a la existencia de una EIPD, tenga motivos razonables para sospechar que la instrucción es ilícita, que el principio de minimización de datos no se tuvo suficientemente en cuenta al elaborar la EIPD o que la calidad y la legitimidad de la evaluación son deficientes.

Una vez por año natural, con un preaviso escrito de 30 días, el Cliente puede solicitar el cuestionario de seguridad cumplimentado por Kreedl, una copia del Anexo 1 y la documentación disponible que acredite el cumplimiento del presente DPA. Solo se realizará una inspección in situ en el lugar y momento en que lo exija una autoridad de control o la ley, con sujeción a confidencialidad, sin acceso a los datos de otros Clientes y a cargo del Cliente. Kreedl no cuenta con la certificación ISO 27001 ni SOC 2, no garantiza que las investigaciones internas se realicen conforme a dichas certificaciones, y el Cliente así lo reconoce.

12.1 A la finalización del contrato con el Cliente, y en cualquier momento previa solicitud por escrito, Kreedl exporta los Datos Personales del Cliente en un formato estructurado y de lectura mecánica (JSON; archivos de audio para las grabaciones) y suprime los Datos Personales del Cliente en un plazo de 30 días desde la finalización. Las copias de seguridad cifradas se eliminan en un plazo de 90 días. Kreedl confirma la supresión por escrito previa solicitud. Kreedl puede conservar datos cuando lo exija la ley, y únicamente con ese fin.

12.2 Cuando desaparezca la base jurídica en virtud de la cual el Cliente conserva datos de un tercero en relación con ese tercero, el Cliente informará de ello a Kreedl y será el único responsable de facilitar dicha información. Kreedl llevará a cabo la supresión conforme a los plazos de conservación de los datos personales, salvo que el Cliente insista en conservar el registro por alguno de sus intereses legítimos, en cuyo caso el Cliente deberá justificar dicho interés legítimo. El Cliente responde de cualquier sanción administrativa o de otro tipo derivada de no haber informado a Kreedl de la desaparición de la base jurídica, o de la ilegitimidad de su interés cuando dicho interés sea el fundamento para prolongar la conservación de los datos.

13.1 En la máxima medida permitida por la ley, la responsabilidad total de Kreedl derivada del presente DPA o relacionada con él, incluida cualquier multa administrativa o reclamación de un interesado, se limita al importe abonado por el Cliente en los doce meses anteriores al hecho que origine la reclamación, y Kreedl no responde de daños indirectos o consecuentes, lucro cesante, pérdida de datos ni daños a la reputación.

13.2 Kreedl no tiene ninguna obligación de indemnizar al Cliente.

13.3 El Cliente mantendrá indemne a Kreedl frente a cualquier reclamación, multa, pérdida o gasto (incluidos honorarios legales razonables, y también en el supuesto de que, por una conducta en modo alguno imputable a Kreedl, Kreedl sufra un perjuicio o resulte obligado a pagar una reclamación o multa conforme a la cláusula 13.1 por encima del límite de responsabilidad de la cláusula 13.1) derivados del incumplimiento por el Cliente del presente DPA o del RGPD, de una instrucción del Cliente, de datos facilitados sin base jurídica o sin la información exigida a los interesados cuando el presente DPA así lo establezca expresamente, o de la configuración de autonomía elegida por el Cliente.

El presente DPA subsiste tras la finalización del contrato con el Cliente hasta que prescriba conforme al Derecho checo la última reclamación potencial relacionada directa o indirectamente con los derechos y obligaciones derivados del presente DPA. El DPA se rige por la legislación de la República Checa y los litigios derivados exclusivamente del presente DPA serán resueltos por los tribunales competentes de Praga. Se publica en inglés y en checo; esta versión en español es una traducción informativa. Prevalece la versión en inglés, salvo que el contrato con el Cliente disponga otra cosa. Kreedl puede actualizar unilateralmente el presente DPA mediante notificación por correo electrónico a los Clientes con 14 días de antelación; el uso continuado tras la fecha de entrada en vigor implica su aceptación.

Cifrado. Los Datos Personales del Cliente se cifran en reposo (AES-256 o equivalente) y en tránsito (TLS 1.2 o superior). Las grabaciones de llamadas y los archivos se almacenan en un almacenamiento de objetos cifrado.

Control de acceso. Acceso basado en roles. Solo tiene acceso el personal de Kreedl que lo necesita para operar el servicio. La autenticación multifactor es obligatoria para todo el personal de Kreedl y para todo acceso administrativo a la infraestructura. Los accesos se revisan con cada cambio de personal y, como mínimo, trimestralmente.

Registro y auditabilidad. Cada acción del asistente de IA y cada acceso del personal a Datos Personales del Cliente se registran con la hora y la identidad. Los registros se conservan durante 12 meses y el Cliente tiene acceso a ellos respecto de sus propios datos.

Gestión de secretos. Las credenciales de los proveedores y las claves de API se almacenan en un gestor de secretos, nunca en el código ni expuestas a los usuarios, y se rotan cuando un miembro del personal se marcha o se sospecha que han quedado comprometidas.

Separación de Clientes. Los datos de cada Cliente están separados lógicamente. Ningún Cliente tiene acceso a los datos de otro.

Copias de seguridad. Copias de seguridad cifradas al menos diarias, conservadas durante 90 días, con pruebas de restauración al menos una vez al año.

Proveedores de modelos de IA. Los proveedores de modelos tienen prohibido contractualmente utilizar Datos Personales del Cliente para entrenamiento. Kreedl no entrena ni ajusta (fine-tuning) modelos con Datos Personales del Cliente.

Personal. Todo el personal y los colaboradores firman acuerdos de secreto y confidencialidad y completan una formación en protección de datos antes de obtener acceso. El acceso se revoca el mismo día de la baja.

Respuesta a incidentes. Un procedimiento documentado con una persona responsable, notificación al Cliente en un plazo de 48 horas y una revisión posterior al incidente.

Seguridad física. La infraestructura está alojada en los proveedores indicados en la Política de privacidad, que operan centros de datos certificados (ISO 27001 / SOC 2 a nivel del proveedor). Kreedl no opera centros de datos propios.

Supresión. Reglas automáticas de conservación suprimen los datos de comunicación transcurridos 12 meses o dentro de otro plazo fijado por el Cliente conforme a la sección 3 y la cláusula 12.2. Supresión a la finalización en un plazo de 30 días; copias de seguridad, en un plazo de 90 días.