DPA

1. Partes y funciones

1.1. El presente Acuerdo de tratamiento de datos (“DPA”) forma parte integrante del Contrato de prestación de servicios de PromptEye.

1.2. En la medida en que el Cliente introduzca datos personales en el Servicio, las partes acuerdan que:

    • el Cliente actúa como responsable del tratamiento de los datos personales en el sentido del RGPD,
    • PromptEye actúa como encargado del tratamiento.

1.3. En lo que respecta a los datos personales de los usuarios de la cuenta, los datos de facturación, los datos de contacto y los datos de marketing, PromptEye actúa como responsable del tratamiento, según las condiciones establecidas en la Política de privacidad.

2. Objeto, naturaleza y finalidad del tratamiento

2.1. El objeto del presente Acuerdo de Tratamiento de Datos (DPA) es establecer las condiciones en las que PromptEye trata los datos personales en nombre del Cliente en relación con la prestación del Servicio.

2.2. El tratamiento abarca, en particular:

    • Datos de la cuenta: nombre, apellidos (si se han facilitado), dirección de correo electrónico profesional, nombre y datos de la empresa, función del usuario,
    • Datos técnicos: Dirección IP, datos del dispositivo y del navegador, identificadores de sesión, registros técnicos,
    • Datos de la empresa: indicaciones, nombres de marcas, contenido analítico y otros datos introducidos en el Servicio por el Cliente o los Usuarios, en la medida en que contengan datos personales.

2.3. Las operaciones de tratamiento incluyen, entre otras: la recogida, la organización, el almacenamiento, la modificación, el análisis, el uso para la elaboración de informes, la comunicación al cliente, la supresión y la anonimización.

2.4. La finalidad del tratamiento es que PromptEye preste el Servicio al Cliente, lo que incluye garantizar la seguridad, la facturación, la asistencia técnica y el desarrollo del Servicio, de conformidad con el Contrato.

2.5. Los datos personales se tratarán exclusivamente siguiendo las instrucciones documentadas del Cliente, salvo que el tratamiento sea exigido por la legislación de la Unión Europea o de los Estados miembros; en tal caso, PromptEye informará al Cliente de dicho requisito antes de proceder al tratamiento, salvo que la ley prohíba dicha información.

3. Duración del tratamiento

3.1. PromptEye trata los datos personales durante la vigencia del contrato y durante cualquier período adicional que sea necesario para:

    • cumplir con las obligaciones relativas a la supresión o devolución de los datos,
    • créditos garantizados,
    • cumplir con las obligaciones legales (por ejemplo, contables, fiscales),

de conformidad con la Política de privacidad.

3.2. Por regla general, los datos del cliente se eliminan de los sistemas de producción de PromptEye en un plazo de 30 días a partir de la rescisión del contrato, y las copias almacenadas en los sistemas de copia de seguridad podrán conservarse hasta 60 días a partir de la fecha de eliminación de los sistemas de producción.

4. Categorías de interesados, datos y fundamento jurídico

4.1. Por regla general, el Servicio no está destinado al tratamiento a gran escala de datos personales de terceros (por ejemplo, datos masivos de clientes finales), salvo que las partes acuerden expresamente lo contrario en el Contrato y en la configuración del Servicio.

Categorías de interesados cuyos datos pueden ser objeto de tratamiento:

    • empleados, colaboradores y otros representantes del Cliente,
    • otras personas cuyos datos introduzca el Cliente en el Servicio.

4.2. Categorías de datos:

    • datos de identificación y contacto (por ejemplo, nombre, apellidos, dirección de correo electrónico, cargo, datos de la empresa),
    • datos relacionados con el uso de la Plataforma (registros, identificadores de cuenta, configuraciones),
    • los datos contenidos en las indicaciones, los informes y el contenido enviado por el Cliente (dependiendo del uso que el Cliente haga del Servicio, esto puede incluir datos personales).

4.3. El Cliente declara que dispone de una base jurídica adecuada para el tratamiento de datos personales y para su cesión a PromptEye, de conformidad con el RGPD.

5. Obligaciones de PromptEye como encargado del tratamiento

5.1. PromptEye se compromete a:

    • tratar los datos personales únicamente siguiendo las instrucciones documentadas del Cliente,
    • garantizar que las personas autorizadas a tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada,
    • aplicar las medidas técnicas y organizativas adecuadas, de conformidad con el artículo 32 del RGPD,
    • ayudar al Cliente a cumplir con sus obligaciones para con los interesados, dentro del ámbito establecido en el apartado 7,
    • ayudar al Cliente a cumplir con las obligaciones establecidas en los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, EIPD, consulta previa), en la medida de lo razonable y teniendo en cuenta la naturaleza del tratamiento y la información de que dispone PromptEye,
    • una vez finalizados los servicios de tratamiento, a elección del Cliente, eliminar o devolverle todos los datos personales y eliminar las copias existentes, sin perjuicio de las obligaciones legales,
    • poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente Acuerdo de Tratamiento de Datos y en el artículo 28 del RGPD.

6. Medidas de seguridad

6.1. PromptEye aplica y mantiene medidas técnicas y organizativas que garantizan un nivel de seguridad adecuado al riesgo, incluyendo, como mínimo:

    • el cifrado de los datos personales en tránsito (TLS) y en reposo,
    • control de acceso basado en roles (RBAC),
    • requisitos de contraseñas seguras y la posibilidad de activar la autenticación multifactorial (MFA),
    • copias de seguridad y procedimientos de recuperación ante desastres,
    • supervisión y registro de eventos relacionados con la seguridad,
    • controles de acceso a las infraestructuras (redes, centros de datos, entornos en la nube),
    • actualizaciones periódicas del software y de las dependencias.

6.2. Se podrá facilitar al Cliente una descripción detallada de las medidas de seguridad vigentes en un documento aparte o en la página web de PromptEye.

7. Derechos de los interesados

7.1. Teniendo en cuenta la naturaleza del tratamiento, PromptEye, en la medida en que sea técnica y organizativamente posible, prestará asistencia al Cliente para que este cumpla con sus obligaciones de responder a las solicitudes de los interesados, en particular en lo que se refiere a:

    • acceso a los datos,
    • rectificación,
    • supresión (“derecho al olvido”),
    • limitación del tratamiento,
    • portabilidad de los datos,
    • objeción,
    • derechos relacionados con la elaboración de perfiles y la toma de decisiones automatizada.

7.2. Si PromptEye recibe una solicitud relacionada con los datos tratados por cuenta del Cliente, PromptEye, siempre que pueda identificar al responsable del tratamiento correspondiente, remitirá sin demora dicha solicitud al Cliente, salvo que disposiciones legales específicas exijan que PromptEye responda de forma independiente.

7.3. La asistencia prestada por PromptEye para garantizar el ejercicio de los derechos de los interesados puede suponer costes adicionales para el Cliente si las solicitudes son excesivas o superan el alcance habitual de la asistencia.

8. Subencargados del tratamiento

8.1. El Cliente concede a PromptEye autorización general para contratar a subencargados del tratamiento con el fin de prestar el Servicio. La lista actual de subencargados del tratamiento clave incluye, en particular, a proveedores de modelos de inteligencia artificial (LLM) e infraestructura y herramientas en la nube, tales como proveedores de modelos de lenguaje (p. ej., OpenAI – modelos GPT, Perplexity, DeepSeek, proveedores de capas de agregación de respuestas del tipo «AI Overview») y proveedores de infraestructura y herramientas que respaldan la prestación del Servicio (p. ej., proveedores de servicios en la nube, servicios de bases de datos, herramientas de comunicación y automatización de marketing). La lista de subencargados del tratamiento puede sufrir modificaciones e incluye también a otros proveedores de modelos de IA e infraestructura utilizados en el marco del Servicio, de conformidad con el procedimiento de notificación descrito en el presente DPA.

8.2. PromptEye se asegura de que cada subencargado del tratamiento esté sujeto a un acuerdo que le imponga obligaciones no menos estrictas que las derivadas del presente acuerdo de tratamiento de datos, en particular en lo que respecta a la seguridad y la confidencialidad.

8.3. PromptEye notificará al Cliente (por ejemplo, a través de la página web o por correo electrónico) la incorporación, sustitución o retirada de un subencargado del tratamiento. El Cliente podrá presentar una objeción motivada a la contratación de un subencargado del tratamiento concreto en un plazo razonable a partir de la recepción de dicha notificación.

8.4. En caso de que se presente una objeción válida, las partes negociarán de buena fe para encontrar una solución (por ejemplo, desactivar una funcionalidad específica o contratar a un subencargado del tratamiento alternativo). Si esto no fuera posible, el Cliente podrá rescindir el Contrato en lo que respecta a las funcionalidades que dependan de dicho subencargado del tratamiento o, si ello no fuera posible, la totalidad del Contrato, con efecto al final del periodo de facturación en curso.

9. Transferencias de datos fuera del EEE

9.1. Los datos personales podrán transferirse a terceros países (fuera del Espacio Económico Europeo), en particular a Estados Unidos, en relación con el uso de subencargados del tratamiento, tales como proveedores de modelos LLM y de infraestructura (por ejemplo, OpenAI, Perplexity, DeepSeek, proveedores de capas de agregación de respuestas del tipo AI Overview, proveedores de servicios en la nube y herramientas de automatización de marketing).

9.2. En tales casos, PromptEye se asegurará de que las transferencias de datos se realicen con las garantías jurídicas adecuadas, de conformidad con el capítulo V del RGPD, en particular mediante:

    • la celebración de las cláusulas contractuales tipo (SCC) adoptadas por la Comisión Europea, y/o
    • recurriendo a proveedores que participen en el Marco de Protección de Datos UE-EE. UU. (DPF), cuando proceda.

9.3. A petición del Cliente, PromptEye podrá facilitar información general sobre las medidas de seguridad aplicadas a la transferencia (sin revelar contenidos que constituyan un secreto comercial o que estén sujetos a un acuerdo de confidencialidad).

10. Notificación de violaciones de datos personales

10.1. PromptEye notificará al Cliente sin demora injustificada tan pronto como tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Cliente.

10.2. La notificación incluirá —en la medida de lo posible— la información exigida en el artículo 33, apartado 3, del RGPD, en particular:

    • una descripción de la naturaleza de la infracción,
    • las categorías y el número aproximado de interesados afectados,
    • las categorías y el número aproximado de registros de datos en cuestión,
    • una descripción de las posibles consecuencias de la infracción,
    • una descripción de las medidas adoptadas o propuestas para hacer frente a la infracción.

10.3. PromptEye colaborará con el Cliente en el cumplimiento de sus obligaciones frente a la autoridad de control y los interesados, en la medida de lo razonable, teniendo en cuenta la naturaleza de la violación de datos y las obligaciones legales pertinentes de las partes.

11. Auditorías e inspecciones

11.1. A petición del Cliente, PromptEye facilitará la información necesaria para demostrar el cumplimiento del presente Acuerdo de Tratamiento de Datos y del artículo 28 del RGPD, en particular en forma de:

    • respuestas a los cuestionarios sobre seguridad y el RGPD,
    • resúmenes de los informes de auditoría externa o certificaciones (cuando estén disponibles),
    • descripciones de las medidas técnicas y organizativas.

11.2. En casos justificados, el Cliente podrá llevar a cabo (o encargar a un auditor independiente que lleve a cabo) una auditoría o inspección in situ, previo acuerdo por escrito sobre el alcance, el calendario y las condiciones de la auditoría, así como tras la firma de un acuerdo de confidencialidad.

11.3. Las auditorías presenciales podrán realizarse como máximo una vez cada 12 meses, salvo que se haya producido una violación grave de la seguridad de los datos personales. Los gastos de auditoría correrán a cargo del cliente, salvo que la ley disponga lo contrario.

12. Cese del tratamiento, supresión y devolución de los datos

12.1. Una vez finalizados los servicios de tratamiento de datos prestados al Cliente, PromptEye —de acuerdo con la elección del Cliente comunicada antes de la rescisión del Contrato— deberá:

    • eliminar los datos personales de sus propios sistemas, o
    • facilitar al Cliente una copia de los datos en el formato acordado (por ejemplo, exportación en formato CSV o JSON) y, a continuación, eliminar los datos de sus sistemas,

sin perjuicio de lo dispuesto en el apartado 12.2.

12.2. PromptEye podrá conservar los datos personales en la medida y durante el tiempo que sea necesario para:

    • cumplir con las obligaciones legales (por ejemplo, normativa fiscal y contable),
    • interponer, presentar o defenderse frente a reclamaciones.

12.3. Transcurrido el plazo de conservación mencionado en el apartado 3.2, los datos personales se eliminan definitivamente o se anonimizan de los sistemas de copia de seguridad, en la medida en que lo permita la ley y sea técnicamente viable.

13. Responsabilidad y relación con el contrato

13.1. La responsabilidad de las partes en relación con el presente DPA se rige por el Acuerdo y las Condiciones de servicio, sin perjuicio de las disposiciones legales imperativas.

13.2. En la medida en que las disposiciones del presente Acuerdo de Tratamiento de Datos (DPA) sean más específicas que las de las Condiciones de Servicio, el DPA prevalecerá en lo relativo al tratamiento de datos personales por parte de PromptEye en su calidad de encargado del tratamiento.