Acuerdo de Tratamiento de Datos

1. Introducción

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte del acuerdo entre el cliente ("Responsable del tratamiento") y Bonalogic, que opera Nolorem ("Encargado del tratamiento"), para la prestación de los servicios de la plataforma Nolorem.

Este DPA se aplica a todos los datos personales tratados por los subencargados de Nolorem en nombre del Responsable del tratamiento en relación con el uso del Servicio.

2. Definiciones

• Responsable del tratamiento: El cliente que determina los fines y medios del tratamiento de datos personales a través del Servicio.
• Encargado del tratamiento: Bonalogic (Nolorem), que trata los datos personales en nombre del Responsable del tratamiento.
• Subencargado del tratamiento: Un servicio externo contratado por el Encargado del tratamiento para colaborar en el tratamiento de datos personales.
• Datos personales: Cualquier información relativa a una persona física identificada o identificable.
• Tratamiento: Cualquier operación realizada sobre datos personales, incluidas la recopilación, el almacenamiento, el uso, la transmisión y la eliminación.

3. Detalles del tratamiento

El Encargado del tratamiento trata las siguientes categorías de datos personales en nombre del Responsable del tratamiento:

• Datos de la cuenta: Nombre, dirección de correo electrónico, nombre de la organización y credenciales de autenticación para la gestión de la cuenta de usuario.
• Datos de contenido: Entradas de blog, contenido para redes sociales, consultas de investigación, esquemas de temas y texto e imágenes generados.
• Reacciones a publicaciones de redes sociales: Cuando alguien reacciona a una publicación que el Responsable del tratamiento publicó a través del Servicio, el Encargado del tratamiento recupera esa reacción de la plataforma (mediante bundle.social) y la conserva. Esto comprende el identificador del autor en la plataforma, el nombre visible cuando la plataforma lo facilita, el enlace al perfil, el enlace a la foto de perfil (un enlace que caduca; la imagen en sí no se conserva), el texto de la reacción, la hora, el número de «me gusta» y de respuestas, y la posición en el hilo de conversación. Finalidad: permitir que el Responsable del tratamiento lea y responda las reacciones. Estas personas no son clientes del Encargado del tratamiento; sus datos proceden de la plataforma.
• Datos de facturación: Nivel de suscripción, referencias del método de pago y registros de facturas tratados a través de Stripe.
• Datos de uso: Uso de funciones, visitas de páginas y registros de interacción para la mejora del servicio.
• Texto antes y después de la edición: El texto tal como lo generó el Encargado del tratamiento y tal como lo envió o programó el Responsable del tratamiento, con el canal, el perfil de voz, el idioma, el tipo de contenido y el identificador del usuario que inició el último paso. Finalidad: poder mejorar las propias generaciones del Responsable del tratamiento. El Encargado del tratamiento no usa estos datos para otros clientes ni para entrenar un modelo. Cualquier análisis se hace solo sobre cifras sin nombre de cliente. El identificador del usuario se conserva hasta que termina el plazo de conservación y, una vez eliminada esa cuenta, ya no remite a nadie.

Los datos se tratan durante el periodo de uso del Servicio por parte del Responsable del tratamiento y se eliminan en un plazo de 30 días desde la finalización de la cuenta.

El texto antes y después de la edición se conserva 12 meses o se elimina antes junto con la publicación o el artículo, y al eliminarse la organización del Responsable del tratamiento. Una publicación o un artículo en la papelera cuenta hasta que se elimina definitivamente o hasta que pasan los 12 meses.

Las reacciones de terceros se conservan mientras exista en el Servicio la publicación en la que figuran. El Encargado del tratamiento recupera reacciones hasta aproximadamente 30 días después de la publicación. Una reacción eliminada en la plataforma antes de ese momento desaparece también del Servicio en la siguiente recuperación. Una reacción eliminada en la plataforma después de ese momento permanece en el Servicio hasta que el Responsable del tratamiento elimine la publicación de forma definitiva (también de la papelera); entonces las reacciones desaparecen con ella. Las respuestas enviadas desde el Servicio se conservan como parte de la publicación.

4. Subencargados

Los siguientes subencargados se contratan para prestar el Servicio. Cada subencargado está vinculado por acuerdos de tratamiento de datos conformes con los requisitos del RGPD.

Se notificará al Responsable del tratamiento cualquier cambio en los subencargados. Podrán plantearse objeciones a nuevos subencargados en un plazo de 30 días desde la notificación.

bundle.social recupera además de la plataforma las reacciones a las publicaciones del Responsable del tratamiento y envía las respuestas que el Responsable del tratamiento da desde el Servicio. Anthropic (y, como alternativa, OpenAI) recibe el texto de una reacción y el nombre de su autor únicamente cuando el Responsable del tratamiento pulsa el botón «Proponer una respuesta», para redactar una propuesta. Sin esa acción, ninguna reacción llega a un proveedor de IA. La propuesta nunca se envía sin que una persona pulse enviar.

5. Seguridad de los datos

El Encargado del tratamiento implementa medidas técnicas y organizativas adecuadas para proteger los datos personales, entre ellas:

• Cifrado en tránsito: Todos los datos transmitidos entre la plataforma y los usuarios se cifran mediante TLS 1.2 o superior.
• Cifrado en reposo: Los datos personales almacenados en la base de datos se cifran en reposo mediante AES-256.
• Controles de acceso: Los controles de acceso basados en roles y las políticas de Row Level Security (RLS) delimitadas por organización garantizan el aislamiento de los datos entre clientes.
• Revisiones periódicas: Las prácticas de seguridad y los acuerdos con subencargados se revisan periódicamente.

6. Derechos de los interesados

El Encargado del tratamiento asistirá al Responsable del tratamiento en el cumplimiento de las solicitudes de derechos de los interesados conforme al RGPD, incluidos:

• Acceso a los datos personales
• Rectificación de datos inexactos
• Supresión de datos personales
• Portabilidad de los datos en formato de lectura mecánica
• Limitación del tratamiento
• Oposición al tratamiento

El Encargado del tratamiento responderá a las solicitudes del Responsable del tratamiento en un plazo de 15 días hábiles.

Para las reacciones de terceros: a petición del Responsable del tratamiento, un administrador del Encargado del tratamiento elimina todas las reacciones de una persona en el espacio de trabajo de ese Responsable del tratamiento. También se eliminan las respuestas que el Responsable del tratamiento dio a esa persona en el Servicio, porque pueden llevar tu nombre. La respuesta en la propia plataforma permanece; el Responsable del tratamiento la gestiona allí. Después, el Encargado del tratamiento anota únicamente el identificador de esa persona en la plataforma y la fecha en una lista de exclusión de ese espacio de trabajo, para que la siguiente recuperación no la vuelva a traer. Esa lista se aplica por organización y no contiene nada más. Base jurídica: el interés legítimo de hacer duradera una supresión.

7. Notificación de violaciones de seguridad

En caso de violación de la seguridad de los datos personales, el Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y, a más tardar, 72 horas después de tener conocimiento de la violación. La notificación incluirá:

• La naturaleza de la violación
• Las categorías y el número aproximado de interesados afectados
• Las consecuencias probables de la violación
• Las medidas adoptadas o propuestas para abordar la violación

8. Derechos de auditoría

El Responsable del tratamiento podrá solicitar la información necesaria para demostrar el cumplimiento de las obligaciones del RGPD. El Encargado del tratamiento pondrá a disposición toda la información necesaria y permitirá auditorías, incluidas inspecciones, realizadas por el Responsable del tratamiento o por un auditor designado por este, con sujeción a un preaviso razonable y a obligaciones de confidencialidad.

9. Resolución

A la resolución del DPA o del contrato de servicio subyacente, el Encargado del tratamiento, a elección del Responsable del tratamiento:

• Devolverá todos los datos personales al Responsable del tratamiento en un formato estructurado y de uso común, o
• Eliminará todos los datos personales en un plazo de 30 días, salvo que la conservación sea exigida por la legislación aplicable.

El Encargado del tratamiento facilitará confirmación por escrito de la eliminación de los datos cuando así se solicite.

10. Contacto

Si tienes preguntas sobre este Acuerdo de Tratamiento de Datos, para solicitar una auditoría o para comunicar una incidencia relativa a los datos, contáctanos en:

• Correo electrónico: info@nolorem.io
• Empresa: Bonalogic