Acuerdo de tratamiento de datos de Vavus Concierge

El presente Acuerdo de tratamiento de datos («ATD») se celebra entre DCI Brands LLC («Vavus», «nosotros», el encargado del tratamiento), 312 W 2nd Street, Casper, WY 82601, United States, y la empresa que opera un espacio de trabajo de Vavus Concierge (el inquilino, el responsable del tratamiento). Se aplica a los datos de los visitantes que Vavus trata siguiendo las instrucciones del inquilino a través del servicio Concierge: la consola, el widget del sitio web, las páginas del agente alojadas, los canales telefónicos y de mensajería, y las reservas.

Complementa los Términos del servicio de Vavus Concierge, que el inquilino acepta junto con el presente ATD. Cuando el presente ATD entre en conflicto con los Términos de Concierge en lo relativo al tratamiento de los datos de los visitantes, prevalecerá el presente ATD. Está redactado para cumplir el artículo 28 del RGPD y del RGPD del Reino Unido, el artículo 9 de la Ley Federal suiza de Protección de Datos (FADP) y compromisos comparables de los encargados del tratamiento en otros lugares; cuando la legislación local imponga obligaciones más estrictas a los encargados del tratamiento, estas prevalecerán respecto del tratamiento en esa jurisdicción. El Anexo IV se aplica además cuando una ley de privacidad de un estado de los Estados Unidos rija los datos de los visitantes del inquilino.

El inquilino es el responsable del tratamiento de los datos de los visitantes: decide qué hace el asistente, qué conocimientos contiene, qué canales funcionan y qué se pide a los visitantes. Vavus es el encargado del tratamiento: actuamos únicamente siguiendo las instrucciones del inquilino a través de la consola y del funcionamiento normal del servicio, y tratamos los datos de los visitantes con el único fin de prestar Concierge.

Informaremos inmediatamente al inquilino si, en nuestra opinión, una instrucción infringe la normativa de protección de datos aplicable, y no ejecutaremos una instrucción manifiestamente ilícita. Si la ley exige un tratamiento al margen de las instrucciones documentadas, informaremos al inquilino antes de dicho tratamiento, salvo que la ley lo prohíba. No tratamos los datos de los visitantes para nuestros propios fines, no los utilizamos para entrenar nuestros modelos y no los vendemos.

El presente ATD, incluidas las condiciones de transferencia de las Secciones 7 y 13 a 15, abarca a un inquilino que es el responsable del tratamiento de los datos de sus visitantes. No abarca a un inquilino que trata los datos por cuenta de otro responsable del tratamiento, porque no ofrece el Módulo Tres (transferencia de encargado a encargado) de las Cláusulas; una empresa de ese tipo no puede aceptarlo respecto de esos datos.

El inquilino es responsable de la licitud de lo que nos pide que hagamos. Confirma que dispone de una base jurídica para el tratamiento, incluso conforme a los artículos 6, 9 y 10 del RGPD cuando resulten aplicables; que ha facilitado a los visitantes la información que exigen los artículos 12 a 14 y ha obtenido cualquier consentimiento que exija la ley, incluido el necesario para grabar o traducir una llamada; y que sus instrucciones cumplen la normativa de protección de datos. Salvo que el espacio de trabajo esté configurado para uso sanitario, el inquilino no introducirá en el servicio datos de visitantes que incluyan números de identificación oficiales, números de tarjetas de pago, credenciales de cuentas financieras, contraseñas de otros servicios, datos biométricos, datos recogidos a sabiendas de menores de 16 años o categorías especiales de datos, como los relativos a la salud, el origen racial o étnico, las opiniones políticas, la religión o la orientación sexual, y eliminará los que lleguen por accidente. El inquilino mantiene seguras sus credenciales de la consola, decide quién de su equipo tiene acceso, conserva su propia copia de todo lo que no pueda permitirse perder y confirma que ha revisado las medidas de la Sección 5 y del Anexo II y que las considera adecuadas para los datos que trata a través de Concierge.

Categorías de datos de los visitantes, según los recoja la configuración del inquilino: identificadores que facilita el visitante (nombre, número de teléfono, dirección de correo electrónico), contenido de las conversaciones (mensajes, audio de voz, transcripciones y cualquier grabación que el inquilino gestione), registros de contactos y de reservas que el asistente crea a partir de las acciones del visitante, datos técnicos de la sesión (marcas de tiempo, canal, idioma) y datos personales contenidos en el material que el inquilino carga en los conocimientos del asistente o en las muestras de voz que el inquilino facilita para crear una voz personalizada.

Los interesados son los visitantes, clientes, clientes potenciales y personal del inquilino cuya información se facilita al servicio. El tratamiento incluye la recogida, la transmisión, la organización, el almacenamiento, la consulta, la traducción, la generación de respuestas, la comunicación al personal autorizado y a los proveedores conectados, y la supresión. Finalidad: prestar Concierge siguiendo las instrucciones del inquilino. La duración se rige por los ajustes de conservación aplicables y por la Sección 9, en lugar de extenderse automáticamente durante toda la vida del espacio de trabajo.

Solo tiene acceso el personal que lo necesita para operar o proteger el servicio, sujeto a obligaciones de confidencialidad, y el acceso queda registrado en los espacios de trabajo configurados para uso sanitario. No incluimos contenido de los visitantes en las cargas de datos de analítica, en los chats de soporte ni en rastreadores públicos.

El servicio funciona en nuestra propia infraestructura con las medidas descritas en nuestra página de Seguridad: TLS en tránsito, cifrado en reposo, acceso según el principio de mínimo privilegio, registro de auditoría, eliminación segura de los archivos cuyo plazo de conservación ha vencido y endpoints reforzados detrás de un cortafuegos de aplicaciones web. Las grabaciones se conservan en un almacenamiento de objetos con control de acceso; el acceso a la consola está autenticado y limitado por roles. Podemos actualizar estas medidas a medida que cambien la tecnología y las amenazas, siempre que la protección global de los datos de los visitantes no disminuya sustancialmente.

Recurrimos a subencargados del tratamiento por función: alojamiento y almacenamiento en la nube (Google Cloud); reconocimiento de voz, síntesis de voz, traducción y modelos de IA (Google, OpenAI, Anthropic, ElevenLabs y AssemblyAI); enrutamiento semántico de los turnos de conversación, cuando el espacio de trabajo lo active (TypeSafe); telefonía y mensajes de texto para los números de teléfono que suministramos al inquilino (Twilio); pagos del propio plan y uso del inquilino (Stripe); entrega de correo electrónico (Resend, además de nuestro servidor Postal alojado en nuestra propia infraestructura); y, cuando el inquilino conecta sistemas de telefonía, mensajería, pago, reservas o gestión empresarial, los propios proveedores del inquilino (como su propia cuenta de Twilio, el proveedor de WhatsApp, su propia cuenta de Stripe, su calendario o su CRM), que el inquilino contrata directamente bajo su propia autoridad. El Anexo III identifica a cada subencargado del tratamiento y su función.

El inquilino otorga una autorización general por escrito para los subencargados del tratamiento identificados en la lista vigente facilitada para su servicio. Imponemos a cada subencargado del tratamiento, mediante un contrato escrito, obligaciones de protección de datos equivalentes a las del presente ATD y seguimos siendo responsables ante el inquilino de su cumplimiento. El contenido de los visitantes no debe utilizarse para entrenar modelos sin una instrucción lícita y una base contractual independientes. La lista nominativa vigente es el Anexo III y también puede solicitarse, y avisamos al inquilino con al menos 30 días de antelación, en la consola o por correo electrónico, antes de que un nuevo subencargado del tratamiento trate datos de los visitantes, plazo durante el cual el inquilino puede oponerse por motivos razonables de protección de datos. A continuación, colaboramos de buena fe con el inquilino para resolver la oposición; si no podemos, el inquilino puede poner fin al espacio de trabajo antes de que el nuevo subencargado del tratamiento trate sus datos, y ese es el único remedio frente a la oposición. Las tarifas ya devengadas siguen siendo pagaderas, y cualquier reembolso se rige por los Términos de Concierge.

El servicio funciona en los Estados Unidos y, para reducir la latencia, en un nodo perimetral en la Unión Europea (Fráncfort). Por tanto, los datos de los visitantes pueden tratarse en cualquiera de las dos regiones, según lo requiera el enrutamiento de la sesión. Antes de que tenga lugar una transferencia internacional restringida, las partes deben establecer el mecanismo de transferencia lícito aplicable y documentar los destinos y las garantías. Cuando se utilicen cláusulas contractuales tipo, las cláusulas, el módulo, las opciones y los anexos cumplimentados aplicables deben formar parte del acuerdo de transferencia.

Para las transferencias de datos de los visitantes a nosotros en los Estados Unidos, el presente ATD es dicho acuerdo de transferencia, y el inquilino se basa en él sin necesidad de una firma independiente: para las transferencias regidas por el RGPD (desde el Espacio Económico Europeo), las Cláusulas tal como se establecen en la Sección 13 y sus anexos; para las transferencias regidas por la normativa de protección de datos del Reino Unido, las Cláusulas junto con la Adenda de Transferencia Internacional de Datos del Reino Unido tal como se establece en la Sección 14; y para las transferencias regidas por la FADP suiza, las Cláusulas con las adaptaciones suizas de la Sección 15. Cada una se aplica a toda transferencia regida por su ley, con independencia de la respuesta que el inquilino haya dado en la consola sobre datos del Reino Unido o de Suiza. Cuando más de una de estas leyes rija la misma transferencia, cada conjunto de condiciones se aplica en la medida de su propia ley, y ninguno reduce la protección que otorga otro.

Las transferencias regidas por la normativa sobre transferencias de cualquier otro país requieren el mecanismo que exija dicha ley; contacte con nosotros antes de activar un tratamiento que lo requiera. No estamos certificados en el Marco de Privacidad de Datos UE-EE. UU., en su Extensión del Reino Unido ni en el Marco de Privacidad de Datos Suiza-EE. UU., y ninguna transferencia en virtud del presente ATD se basa en ellos.

Los visitantes son clientes del inquilino: las solicitudes de un visitante relativas a sus datos (acceso, rectificación, supresión, oposición) se dirigen al inquilino como responsable del tratamiento, y el inquilino las atiende utilizando la eliminación por contacto de la consola. Teniendo en cuenta la naturaleza del tratamiento, prestamos asistencia mediante medidas técnicas y organizativas apropiadas en relación con las solicitudes conforme al capítulo III del RGPD y los derechos equivalentes conforme al RGPD del Reino Unido y a la FADP. Teniendo en cuenta la información a nuestra disposición, también prestamos asistencia en materia de seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a las autoridades de control conforme a los artículos 32 a 36 del RGPD y las disposiciones equivalentes del RGPD del Reino Unido y de la FADP. La asistencia que vaya más allá de lo que el servicio ya ofrece, como la recopilación de registros para una evaluación de impacto relativa a la protección de datos, podrá facturarse a nuestras tarifas de servicios profesionales vigentes en ese momento, presupuestadas al inquilino con antelación.

Si tenemos conocimiento de un incidente de seguridad que afecte a datos de los visitantes de un espacio de trabajo, lo notificamos al inquilino sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales. No esperamos a que concluya una investigación ni tratamos el plazo de notificación reglamentaria del responsable del tratamiento como nuestro plazo de notificación. Facilitamos los detalles disponibles de la violación, los datos y las personas afectados, las consecuencias probables, el punto de contacto y las medidas de mitigación, y facilitamos más información por fases a medida que se disponga de ella. El inquilino gestiona, como responsable del tratamiento, cualquier notificación a sus propios visitantes o a los reguladores.

Los intentos fallidos que no comprometen los datos de los visitantes, como los intentos de inicio de sesión bloqueados, los escaneos o los pings, no son incidentes y no se notifican. Una notificación no constituye un reconocimiento de culpa ni de responsabilidad. Cuando la ley lo permita, el inquilino nos informará antes de mencionar a Vavus en una notificación sobre un incidente dirigida a un regulador, a los visitantes o al público, y considerará de buena fe cualquier corrección que solicitemos sobre nuestra participación en él.

La eliminación del espacio de trabajo suprime la configuración y el material de las conversaciones del espacio de trabajo, incluidas las grabaciones del almacenamiento de objetos, con sujeción a la caducidad de las copias de seguridad cifradas conforme a nuestra política de ciclo de vida y a los registros que la ley nos obliga a conservar (registros de facturación durante el plazo fiscal legal). La eliminación por contacto suprime el material de las conversaciones de ese contacto. A elección del inquilino, a la terminación, devolvemos sus datos personales restantes en un formato utilizable o los suprimimos, y suprimimos las copias existentes salvo que la legislación aplicable exija su conservación. Una solicitud de devolución debe preceder a una instrucción de supresión irreversible. Las copias de seguridad conservadas siguen protegidas, no se utilizan para el tratamiento ordinario y se suprimen conforme al ciclo de vida documentado aplicable; si se restauran, deben volver a aplicarse las instrucciones de supresión.

Si el inquilino no da ninguna instrucción en los 30 días siguientes a la finalización del espacio de trabajo, suprimimos los datos personales restantes. Confirmamos la supresión por escrito previa solicitud.

Ponemos a disposición la información necesaria para demostrar el cumplimiento del presente ATD y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte del inquilino o de un auditor independiente designado por él. Estos derechos están a disposición de todos los inquilinos y no están condicionados a una suscripción empresarial.

Las auditorías empiezan por los documentos. Previa solicitud, facilitamos nuestra documentación de seguridad, las medidas del Anexo II y las respuestas a un cuestionario de seguridad razonable y, cuando un informe reciente de un auditor independiente abarque los controles en cuestión, facilitamos ese informe en lugar de una nueva auditoría de dichos controles. Cuando los documentos sean realmente insuficientes, tras una violación de la seguridad confirmada que afecte a los datos del inquilino, o cuando una autoridad de control lo exija, el inquilino podrá realizar una inspección: una vez cada 12 meses salvo que una violación de la seguridad o un regulador exijan más, con un preaviso por escrito de 30 días y una propuesta de alcance, en horario laboral, en virtud de un acuerdo de confidencialidad, sin acceso a los datos de otros clientes y recurriendo a un auditor que no sea competidor nuestro. Las auditorías corren a cargo del inquilino, y el inquilino comparte con nosotros sus conclusiones. Nada de lo anterior impide una inspección que un regulador exija legalmente.

El presente ATD está vigente mientras exista el espacio de trabajo del inquilino y termina cuando se elimina el espacio de trabajo, y sus obligaciones de protección de datos se mantienen mientras nosotros o nuestros subencargados del tratamiento conservemos datos personales de los visitantes. Las disposiciones sobre litigios, responsabilidad y ley aplicable de los Términos de Concierge se aplican únicamente en la medida en que no restrinjan los derechos imperativos en materia de protección de datos, las facultades de los reguladores ni un acuerdo de transferencia aplicable; dicho acuerdo prevalece en caso de conflicto.

Cuestiones de protección de datos, listas de subencargados del tratamiento, las cláusulas contractuales tipo, la Adenda del Reino Unido y las adaptaciones suizas: support@vavusai.com.

Para las transferencias de datos personales de los visitantes desde el Espacio Económico Europeo a nosotros en los Estados Unidos, el presente ATD incorpora las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (las «Cláusulas»), Módulo Dos (transferencia de responsable a encargado), completadas con los anexos que figuran a continuación. Para las transferencias regidas por el RGPD, las Cláusulas se incorporan sin modificaciones; las Secciones 14 y 15 establecen cómo se aplican las mismas Cláusulas a las transferencias regidas por el Derecho del Reino Unido y de Suiza. Se formalizan mediante la aceptación registrada por el inquilino de los Términos de Concierge junto con el presente ATD: la versión y la marca de tiempo de dicha aceptación que registra el servicio, junto con nuestra publicación del presente ATD en esa versión, constituyen el acuerdo escrito de las partes respecto de las Cláusulas, por lo que no se necesita una firma independiente.

Las opciones de las Cláusulas se ejercen del siguiente modo. No se utiliza la cláusula de incorporación opcional (cláusula 7). La cláusula 9, letra a), funciona con arreglo a su opción de autorización general por escrito: el régimen de subencargados del tratamiento de la Sección 6 es la autorización acordada, y su preaviso de 30 días cubre el plazo de preaviso de la cláusula. No se ofrece el organismo independiente de resolución de litigios opcional de la cláusula 11, letra a). La autoridad de control competente conforme a la cláusula 13 se determina según los criterios de la cláusula 13, letra a), tal como se establece en el Anexo I.C. Conforme a la cláusula 17, las Cláusulas se rigen por el Derecho del Estado miembro en el que esté establecido el inquilino o, cuando el inquilino no esté establecido en un Estado miembro o dicho Derecho no reconozca derechos a terceros beneficiarios, por el Derecho de Irlanda; conforme a la cláusula 18, letra b), son competentes los órganos jurisdiccionales de dicho Estado miembro o, en ese caso, los órganos jurisdiccionales de Irlanda, y conforme a la cláusula 18, letra c), un interesado también puede ejercitar acciones en el Estado miembro en el que tenga su residencia habitual. En las Cláusulas, tal como se aplican conforme a la presente Sección, los Estados miembros incluyen los Estados del Espacio Económico Europeo que no son miembros de la Unión Europea.

Cuando las Cláusulas y el presente ATD entren en conflicto, prevalecerán las Cláusulas en la medida del conflicto, de conformidad con la Sección 11. Conforme a la cláusula 8.3 (Módulo Dos), el inquilino pone las Cláusulas, incluidos estos anexos, a disposición del interesado que lo solicite; facilitamos el texto previa solicitud para hacerlo posible.

Para las transferencias de datos personales de los visitantes a las que se aplique la normativa de protección de datos del Reino Unido (Transferencias Restringidas conforme al RGPD del Reino Unido), el presente ATD incorpora la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) emitida por el Comisionado de Información (Information Commissioner) en virtud de la sección 119A(1) de la Ley de Protección de Datos de 2018 (Data Protection Act 2018), versión B1.0, en vigor desde el 21 de marzo de 2022 (la «Adenda»), completada con las tablas de la presente Sección. Se aplica a toda transferencia de ese tipo, con independencia de la respuesta que el inquilino haya dado en la consola sobre datos del Reino Unido. Tal como permite la Sección 2 de la Adenda, las partes la celebran mediante la aceptación registrada por el inquilino del presente ATD en esta versión y nuestra publicación del presente ATD en esta versión, lo que la hace jurídicamente vinculante para ambas partes y permite a los interesados ejercer los derechos que les confiere; no se necesita una firma independiente.

Tabla 1 - Partes. Fecha de inicio: la fecha en que la consola registra la aceptación de esta versión por el inquilino. Exportador: el inquilino, con la denominación legal completa, el nombre comercial, el domicilio principal, el número de registro oficial y la persona de contacto clave (el nombre y el cargo de la persona que acepta, y el correo electrónico de contacto de privacidad de la empresa) registrados con su aceptación en la consola. Importador: DCI Brands LLC, que opera como Vavus; domicilio principal: 312 W 2nd Street, Casper, WY 82601, United States; número de registro oficial: número de expediente 2017-000762309 de la Secretaría de Estado de Wyoming (Wyoming Secretary of State); persona de contacto clave: Dragos Ignat, propietario y fundador, support@vavusai.com. Firma: no es necesaria, como se ha indicado anteriormente.

Tabla 2 - CCT seleccionadas, módulos y cláusulas seleccionadas. Las CCT de la UE aprobadas, incluida la Información del Apéndice, con únicamente los siguientes módulos, cláusulas y disposiciones opcionales en vigor a efectos de la Adenda: se aplica el Módulo 2 (de responsable a encargado), y no se aplican los Módulos 1, 3 y 4; no se utiliza la cláusula 7 (cláusula de incorporación); no se utiliza la opción de la cláusula 11 (organismo independiente de resolución de litigios); la cláusula 9, letra a), funciona con arreglo a la autorización general por escrito, con un plazo de preaviso de 30 días.

Tabla 3 - Información del Apéndice. Anexo 1A (Lista de partes): Anexo I.A del presente ATD. Anexo 1B (Descripción de la transferencia): Anexo I.B del presente ATD. Anexo II (medidas técnicas y organizativas, incluidas las destinadas a garantizar la seguridad de los datos): Anexo II del presente ATD. Anexo III (Lista de subencargados del tratamiento): Anexo III del presente ATD.

Tabla 4 - Terminación de la presente Adenda cuando cambie la Adenda Aprobada. Qué partes pueden poner fin a la presente Adenda según lo establecido en la Sección 19 de la Adenda: ninguna de las partes. Cuando el Comisionado de Información emita una Adenda Aprobada revisada conforme a la Sección 18 de la Adenda, la presente Adenda se modificará según especifique la revisión a partir de la fecha de inicio que esta establezca.

Cláusulas Obligatorias: la Parte 2: Cláusulas Obligatorias de la Adenda Aprobada, que es la plantilla de Adenda B.1.0 emitida por la ICO y presentada ante el Parlamento de conformidad con la sección 119A de la Ley de Protección de Datos de 2018 (Data Protection Act 2018) el 2 de febrero de 2022, tal como se revise conforme a la Sección 18 de dichas Cláusulas Obligatorias. Conforme a dichas Cláusulas Obligatorias, la Adenda se rige por las leyes de Inglaterra y Gales, los litigios se resuelven ante los tribunales de Inglaterra y Gales, un interesado también puede ejercitar acciones contra cualquiera de las partes ante los tribunales de cualquier país del Reino Unido, y el Comisionado de Información es la autoridad de control. Facilitamos el texto de la Adenda previa solicitud.

Evaluación de riesgos de la transferencia en el Reino Unido. Para la transferencia a nosotros en los Estados Unidos, el inquilino, como exportador, se basa, para la evaluación del Derecho y la práctica de los Estados Unidos en materia de acceso de las autoridades públicas a los datos personales y de la exigibilidad de la Adenda, en el análisis del Gobierno del Reino Unido sobre las leyes y prácticas pertinentes de los Estados Unidos, elaborado por el Departamento de Ciencia, Innovación y Tecnología (Department for Science, Innovation and Technology), tal como permite la guía del Comisionado de Información sobre la realización de una evaluación de riesgos de las transferencias a los Estados Unidos, incluso respecto de un destinatario que no esté certificado en la Extensión del Reino Unido del Marco de Privacidad de Datos UE-EE. UU. Según dicho análisis, la protección de los datos transferidos, con la Adenda en vigor, no es sustancialmente inferior a la que ofrece la normativa de protección de datos del Reino Unido. No estamos certificados en dicho marco, y esta evaluación no se basa en ninguna certificación. La transferencia que abarca es la descrita en el Anexo I.B, con las transferencias ulteriores del Anexo III y las garantías del Anexo II y del resumen de la evaluación de impacto de la transferencia. Informaremos al inquilino sin dilación indebida si el Gobierno del Reino Unido retira o modifica sustancialmente dicho análisis o si ya no podemos cumplir la Adenda, y las partes revisarán entonces esta evaluación.

Para las transferencias de datos personales de los visitantes a las que se aplique la Ley Federal suiza de Protección de Datos, de 25 de septiembre de 2020 (FADP), las Cláusulas tal como se incorporan en la Sección 13 se aplican como cláusulas tipo de protección de datos reconocidas por el Comisionado Federal de Protección de Datos y Transparencia (FDPIC) conforme al artículo 16, apartado 2, letra d), de la FADP, con las adaptaciones que figuran a continuación. Se aplican a toda transferencia de ese tipo, con independencia de la respuesta que el inquilino haya dado en la consola sobre datos de Suiza. Cuando una transferencia esté regida tanto por la FADP como por el RGPD, las partes mantienen regímenes separados: estas adaptaciones se aplican únicamente en la medida en que la FADP rija la transferencia, y la Sección 13 sigue aplicándose sin modificaciones en la medida en que la rija el RGPD.

• Las referencias al Reglamento (UE) 2016/679 deben entenderse como referencias a la FADP, en la medida en que la transferencia esté sujeta a la FADP.
• El FDPIC es la autoridad de control competente conforme a la cláusula 13 y al Anexo I.C para las transferencias regidas por la FADP; cuando el RGPD también rija una transferencia, la autoridad determinada conforme a la cláusula 13, letra a), sigue siendo competente para esa parte, en paralelo.
• Para las transferencias regidas únicamente por la FADP, las Cláusulas se rigen por el Derecho suizo conforme a la cláusula 17, y los litigios entre las partes conforme a la cláusula 18, letra b), se resuelven ante los tribunales de Suiza del domicilio social del inquilino.
• El término «Estado miembro» de las Cláusulas no debe interpretarse de forma que excluya a los interesados en Suiza de la posibilidad de ejercitar acciones en defensa de sus derechos en su lugar de residencia habitual, Suiza, conforme a la cláusula 18, letra c).
• El resumen de la evaluación de impacto de la transferencia se aplica a estas transferencias, entendido con referencia a la FADP. No estamos certificados en el Marco de Privacidad de Datos Suiza-EE. UU., por lo que el reconocimiento de los Estados Unidos por el Consejo Federal para las empresas certificadas no abarca las transferencias a nosotros. La FADP no exige que el uso de estas cláusulas se notifique al FDPIC.

Exportador de datos: el inquilino, responsable del tratamiento de los datos de los visitantes, establecido en el país registrado para el espacio de trabajo en la consola, que puede ser un Estado miembro del Espacio Económico Europeo, el Reino Unido, Suiza u otro país; cuando un inquilino establecido en otro lugar esté sujeto al RGPD, a la normativa de protección de datos del Reino Unido o a la FADP respecto de su tratamiento de los datos de los visitantes, será el exportador de datos para las transferencias regidas por dicha ley. Sus actividades pertinentes para la transferencia son la explotación de su negocio y la dirección del espacio de trabajo de Concierge a través de la consola. Su denominación legal completa, nombre comercial, domicilio, número de registro, correo electrónico de contacto de privacidad, y el nombre y el cargo de la persona que aceptó en su nombre, son los registrados con su aceptación en la consola. Función: responsable del tratamiento.

Importador de datos: DCI Brands LLC («Vavus», el encargado del tratamiento), 312 W 2nd Street, Casper, WY 82601, United States (número de expediente 2017-000762309 de la Secretaría de Estado de Wyoming); actividades pertinentes para la transferencia: la prestación del servicio Concierge en virtud del presente ATD; contacto para cuestiones de protección de datos: support@vavusai.com. Función: encargado del tratamiento.

Firma y fecha: para el exportador de datos, su aceptación del presente ATD registrada en la consola (versión, fecha y hora, y la persona que acepta); para el importador de datos, nuestra publicación del presente ATD en esta versión, conforme a lo dispuesto en la Sección 13.

Categorías de interesados: los visitantes, clientes, clientes potenciales y personal del inquilino cuya información se facilita al servicio.

Categorías de datos personales: identificadores que facilita el visitante (nombre, número de teléfono, dirección de correo electrónico), contenido de las conversaciones (mensajes, audio de voz, transcripciones y cualquier grabación que el inquilino gestione), registros de contactos y de reservas que el asistente crea a partir de las acciones del visitante, datos técnicos de la sesión (marcas de tiempo, canal, idioma) y datos personales contenidos en el material que el inquilino carga en los conocimientos del asistente o en las muestras de voz que el inquilino facilita para crear una voz personalizada.

Datos sensibles: el servicio no recoge de forma habitual datos de categorías especiales. Cuando la configuración de un inquilino haga previsible la presencia de información sanitaria (espacios de trabajo configurados para uso sanitario), el acceso se restringe al personal que lo necesita y queda registrado, y el inquilino sigue siendo responsable de garantizar que su recogida se base en la propia base jurídica y en las instrucciones del inquilino.

Frecuencia y duración: continua, durante la vida del espacio de trabajo, a medida que se producen las sesiones, las reservas y el uso de la consola; la conservación se rige por las Secciones 3 y 9. Naturaleza y finalidad: recogida, transmisión, organización, almacenamiento, consulta, traducción, generación de respuestas, comunicación al personal autorizado y a los subencargados del tratamiento del Anexo III, y supresión, para prestar Concierge siguiendo las instrucciones del inquilino. Las transferencias ulteriores se limitan a lo previsto en la cláusula 9, la Sección 6 y la lista del Anexo III.

Para las transferencias regidas por el RGPD, la autoridad de control competente se determina conforme a la cláusula 13, letra a): cuando el inquilino (como exportador de datos) esté establecido en un Estado miembro, la autoridad de control responsable de garantizar que el inquilino cumpla el RGPD en lo que respecta a la transferencia; cuando el inquilino no esté establecido en un Estado miembro pero esté comprendido en el ámbito de aplicación del artículo 3, apartado 2, del RGPD y haya designado un representante con arreglo al artículo 27, apartado 1, la autoridad de control del Estado miembro en el que esté establecido dicho representante; y cuando el inquilino no esté establecido en un Estado miembro, esté comprendido en el ámbito de aplicación del artículo 3, apartado 2, y no esté obligado a designar un representante con arreglo al artículo 27, apartado 2, la autoridad de control de uno de los Estados miembros en los que se encuentren los interesados cuyos datos personales se transfieren en relación con la oferta de bienes o servicios a dichos interesados, o cuyo comportamiento es objeto de control.

Para las transferencias regidas por la normativa de protección de datos del Reino Unido, el Comisionado de Información, conforme a lo dispuesto en la Sección 14. Para las transferencias regidas por la FADP, el Comisionado Federal de Protección de Datos y Transparencia, conforme a lo dispuesto en la Sección 15, en paralelo con la autoridad indicada anteriormente cuando el RGPD también rija la transferencia.

Las medidas que aplica el importador de datos para proteger los datos, tal como se describen en las Secciones 4, 5, 8 y 9 del presente ATD:

• TLS para los datos en tránsito y cifrado en reposo en todo el servicio
• Acceso según el principio de mínimo privilegio y limitado por roles a través de la consola autenticada; personal sujeto a obligaciones de confidencialidad
• Registro de accesos en los espacios de trabajo configurados para uso sanitario y registro de auditoría de las acciones administrativas
• Grabaciones conservadas en un almacenamiento de objetos con control de acceso
• Eliminación segura de los archivos cuyo plazo de conservación ha vencido; copias de seguridad cifradas conforme a un ciclo de vida documentado
• Copias de seguridad cifradas cada hora, con comprobaciones de restauración, para la continuidad y la recuperación
• Supervisión de las vulnerabilidades del software y de las dependencias del servicio, con aplicación de parches
• Cambios publicados mediante control de versiones y un despliegue automatizado por scripts con comprobaciones de estado y reversión
• Contraseñas almacenadas únicamente como hashes con sal; bloqueo de las cuentas tras repetidos inicios de sesión fallidos
• Seguridad física de los centros de datos proporcionada por Google Cloud con arreglo a sus certificaciones
• Endpoints reforzados detrás de un cortafuegos de aplicaciones web con limitación de frecuencia
• Notificación al inquilino de las violaciones de la seguridad de los datos personales sin dilación indebida después de tener conocimiento de ellas, con detalles y seguimiento por fases
• Asistencia con las solicitudes de los interesados y con las obligaciones del inquilino conforme a los artículos 32 a 36 del RGPD y las disposiciones equivalentes del RGPD del Reino Unido y de la FADP
• Contratos escritos con los subencargados del tratamiento que contienen, en lo sustancial, las mismas obligaciones de protección de datos que el presente ATD

Los subencargados del tratamiento autorizados conforme a la cláusula 9, letra a) (autorización general por escrito), y a la Sección 6, por función. Los cambios se rigen por las condiciones de preaviso y oposición de la Sección 6.

Los proveedores que el propio inquilino conecta (sus propias cuentas de telefonía o mensajería, como su propia cuenta de Twilio o el proveedor de WhatsApp, su propia cuenta de Stripe para los pagos que cobra a sus clientes, y los sistemas de calendario, CRM, gestión de incidencias o tienda que conecta) son contratados directamente por el inquilino bajo su propia autoridad y no son subencargados del tratamiento nuestros.

• Google Cloud: alojamiento y almacenamiento en la nube (región principal en los Estados Unidos, nodo perimetral en la UE en Fráncfort)
• Google: reconocimiento de voz, síntesis de voz, traducción y modelos de IA
• OpenAI: modelos de IA, reconocimiento de voz y síntesis de voz
• Anthropic: modelos de IA
• ElevenLabs: reconocimiento de voz, síntesis de voz y voces personalizadas (no se utiliza en los espacios de trabajo configurados para uso sanitario)
• AssemblyAI: reconocimiento de voz, cuando el ajuste de voz del espacio de trabajo lo utilice
• TypeSafe: enrutamiento semántico de los turnos de conversación, cuando los ajustes del asistente del espacio de trabajo lo activen
• Twilio: telefonía y mensajes de texto para los números de teléfono que suministramos al inquilino
• Stripe: pagos del propio plan y uso de Concierge del inquilino
• Resend: entrega de correo electrónico
• Postal, alojado en nuestra propia infraestructura: entrega de correo electrónico

Cuando la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act) u otra ley de privacidad de un estado de los Estados Unidos se aplique a los datos de los visitantes, el inquilino es la empresa («business») o el responsable del tratamiento y Vavus es su proveedor de servicios («service provider»), contratista («contractor») o encargado del tratamiento, y los términos de este Anexo tienen el significado que les atribuyen dichas leyes. El inquilino nos comunica datos de los visitantes únicamente para la finalidad limitada y especificada de prestar Concierge tal como describen el presente ATD y los Términos de Concierge.

Nos comprometemos a: tratar los datos de los visitantes únicamente para esa finalidad y siguiendo las instrucciones del inquilino, y no venderlos ni compartirlos nunca; no conservarlos, utilizarlos ni comunicarlos para ninguna otra finalidad, incluida cualquier finalidad comercial, ni fuera de nuestra relación comercial directa con el inquilino; no combinarlos con información personal que recibamos de cualquier otra persona o que recojamos nosotros mismos, salvo en la medida en que dichas leyes lo permitan para prestar el servicio; cumplir las obligaciones que dichas leyes imponen a los proveedores de servicios y otorgar a los datos de los visitantes el mismo nivel de protección de la privacidad que exigen; informar al inquilino por escrito si decidimos que ya no podemos cumplir dichas obligaciones; permitir al inquilino adoptar medidas razonables y apropiadas para comprobar que utilizamos los datos de los visitantes de forma coherente con sus propias obligaciones, incluso a través de la Sección 10, y para detener y subsanar cualquier uso no autorizado; y avisar al inquilino de los nuevos subencargados del tratamiento conforme a la Sección 6, lo que satisface el aviso que exigen dichas leyes. Certificamos que comprendemos estas restricciones y que las cumpliremos.

Las solicitudes de los visitantes conforme a dichas leyes se dirigen al inquilino, y prestamos asistencia según se describe en la Sección 8.

El Derecho de los Estados Unidos permite a las autoridades públicas obligar, en circunstancias determinadas, a la comunicación de datos personales en poder de proveedores de servicios (en particular, la sección 702 de la Ley de Vigilancia de Inteligencia Extranjera [FISA] y la Orden Ejecutiva 12333). Antes de aceptar estas Cláusulas, evaluamos la transferencia a la luz de dichas leyes y prácticas, tal como exige la cláusula 14, teniendo en cuenta las circunstancias específicas de la transferencia: datos de apoyo a la actividad empresarial (identificadores, contenido de las conversaciones, registros de reservas, datos técnicos de la sesión), una cadena de tratamiento corta (el inquilino, nosotros y los subencargados del tratamiento del Anexo III), nuestra evaluación de que, al prestar Concierge, no actuamos como proveedor de servicios de comunicaciones electrónicas respecto de este tráfico, y las garantías contractuales, técnicas y organizativas existentes. Mantenemos dicha evaluación bajo revisión, la documentamos y la ponemos a disposición de la autoridad de control competente previa solicitud.

Medidas complementarias: las medidas técnicas y organizativas del Anexo II, la minimización mediante una recogida configurada por el inquilino, los derechos de auditoría de la Sección 10 y las obligaciones que asumimos conforme a las cláusulas 14 y 15: notificar al inquilino una solicitud de comunicación jurídicamente vinculante cuando la ley lo permita, procurar la dispensa de cualquier prohibición de notificación y facilitar información agregada a intervalos regulares, revisar la legalidad de una solicitud e impugnarla cuando existan motivos razonables para considerarla ilícita, y comunicar la mínima información admisible. Si llegamos a la conclusión de que ya no podemos cumplir las Cláusulas, lo notificaremos sin demora al inquilino, y el inquilino podrá suspender la transferencia según lo previsto en las Cláusulas. Si una decisión de adecuación llega a abarcar una transferencia (por ejemplo, si obtenemos la certificación en el Marco de Privacidad de Datos UE-EE. UU.), las Cláusulas se aplicarán a esa transferencia únicamente en la medida en que no lo haga la decisión de adecuación.

Para las transferencias desde el Reino Unido, se aplica la evaluación de riesgos de la transferencia de la Sección 14. Para las transferencias desde Suiza, se aplica esta evaluación entendida con referencia a la FADP, conforme a lo dispuesto en la Sección 15.