Acuerdo de tratamiento de datos

Preámbulo

El presente acuerdo (el «Acuerdo») se celebra entre el Cliente, que actúa como responsable del tratamiento (o como encargado del tratamiento de sus propios clientes, cuando es una agencia), y CODEVIUM SAS, editora del servicio iPand, que actúa como encargado del tratamiento («iPand»), en el sentido del artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

Constituye el anexo 1 de las condiciones generales de contratación («CGC») y se acepta con ellas, mediante la casilla de aceptación marcada en la contratación o mediante la aceptación de un presupuesto A medida. Se aplica mientras iPand trate Datos personales del Cliente, incluso después de la finalización de las CGC.

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les da el artículo 4 del RGPD. Los demás términos en mayúsculas tienen el significado de las CGC.

Artículo 1 — Ámbito: lo que iPand trata para el Cliente

1.1 iPand actúa como encargado del tratamiento respecto de los datos personales contenidos en los Datos del Cliente (los «Datos personales del Cliente»), descritos en el anexo A: composición de la Organización (miembros, roles, marcas accesibles, invitaciones), contenidos introducidos por los miembros (prompts, entidades, competidores, tareas, páginas monitorizadas), conversaciones con Pandi, el asistente GEO de iPand, y resultados generados para el Cliente.

1.2 iPand actúa como responsable del tratamiento, y no como encargado, respecto de los tratamientos que determina ella misma: creación y seguridad de las cuentas de usuario, autenticación y registro de seguridad, prueba de la aceptación de las condiciones, facturación y relación comercial, correos electrónicos del servicio, soporte, prevención de abusos, medición del uso de la aplicación, analítica web de la web. Estos tratamientos se describen en la política de privacidad y no están comprendidos en el Acuerdo.

1.3 Las respuestas recogidas de los motores de inteligencia artificial y las páginas web analizadas pueden mencionar a personas físicas (directivos, autores, reseñas públicas). Para la recogida de estos contenidos públicos y para su método de medición, iPand actúa por cuenta propia, como responsable del tratamiento, sobre la base de su interés legítimo; este tratamiento se describe en la política de privacidad.

Artículo 2 — Instrucciones

2.1 iPand solo trata los Datos personales del Cliente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias fuera de la Unión Europea, salvo obligación legal; en tal caso, iPand informa de ello al Cliente antes del tratamiento, salvo prohibición legal.

2.2 Las instrucciones del Cliente están constituidas por las CGC, las CGU, el presente Acuerdo, los ajustes y las acciones que realizan los miembros en el Servicio (adición o eliminación de prompts, de entidades, de miembros; solicitud de archivo; eliminación de una marca o de una cuenta; autorización de un cliente MCP), y cualquier instrucción escrita complementaria aceptada por iPand.

2.3 iPand informa inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos.

2.4 iPand no utiliza los Datos personales del Cliente para sus propios fines, no los vende y no los utiliza para entrenar modelos de inteligencia artificial.

Artículo 3 — Confidencialidad

iPand garantiza que las personas autorizadas para tratar los Datos personales del Cliente se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos en la medida necesaria para la ejecución del Servicio, el soporte solicitado por el Cliente o la seguridad.

Artículo 4 — Seguridad

4.1 iPand aplica las medidas técnicas y organizativas apropiadas descritas en el anexo B, de conformidad con el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes, la naturaleza de los tratamientos y los riesgos.

4.2 iPand puede hacer evolucionar estas medidas, siempre que no reduzca el nivel global de seguridad.

4.3 El Cliente sigue siendo responsable de las medidas que le corresponden: gestión de los miembros y de sus derechos, retirada de los accesos de las personas que dejan su organización, confidencialidad de los buzones de correo que reciben los códigos de acceso, elección de los clientes MCP que autoriza y contenido que introduce (en particular, la ausencia de datos personales en los prompts, que exigen las CGU).

Artículo 5 — Violación de datos

5.1 iPand notifica al Cliente cualquier violación de la seguridad de los datos personales que afecte a los Datos personales del Cliente sin dilación indebida y a más tardar 48 horas después de haber tenido conocimiento de ella, por correo electrónico a la dirección de facturación y a los Administradores.

5.2 La notificación indica, en la medida de lo posible: la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, las consecuencias probables, las medidas adoptadas o previstas y un punto de contacto. La información no disponible se facilita lo antes posible, de forma gradual.

5.3 iPand coopera con el Cliente para permitirle notificar a la autoridad de control y, en su caso, a los interesados. La notificación por parte de iPand no supone reconocimiento de culpa. iPand aplica un procedimiento interno de gestión de las violaciones de datos.

Artículo 6 — Subencargados del tratamiento

6.1 El Cliente otorga a iPand una autorización general para recurrir a los subencargados del tratamiento que figuran en la lista que iPand mantiene actualizada (anexo C), en la fecha de la contratación y, después, tal como dicha lista evolucione según el presente artículo. La lista actualizada se comunica al Cliente previa solicitud, en contact@ipand.io.

6.2 Subencargados elegidos por iPand. iPand informa al Cliente de toda adición o sustitución de un subencargado del tratamiento que ella elija al menos 30 días antes de que trate Datos personales del Cliente, por correo electrónico a los Administradores de cada Organización cliente. El Cliente puede oponerse por escrito, en contact@ipand.io, dentro de ese plazo, por un motivo razonable relacionado con la protección de datos. Las partes buscan entonces una solución; a falta de ella, el Cliente puede resolver sin coste la suscripción afectada, y se le reembolsa a prorrata la parte del Periodo anual no prestada.

6.3 Sustitución urgente. Cuando la seguridad de los datos o el fallo de un proveedor exijan una sustitución sin esperar ese plazo, iPand puede llevarla a cabo con un preaviso más corto. En tal caso, informa de ello al Cliente sin demora, de la misma manera, y el Cliente dispone a posteriori de los mismos derechos de oposición y de resolución.

6.4 Cambios en los encargados de los subencargados del tratamiento. Algunos subencargados del tratamiento recurren a su vez a proveedores que eligen ellos mismos y que pueden cambiar según sus propias condiciones, sin garantizar siempre a iPand un preaviso de 30 días: en particular los proveedores de recogida y sus proveedores de modelos, el proveedor de alojamiento, el proveedor de envío de correos electrónicos y los editores de los motores del plan A medida. iPand informa al Cliente de estos cambios, de la misma manera, en cuanto tiene conocimiento de ellos. El Cliente dispone entonces de los mismos derechos de oposición y de resolución que en el artículo 6.2.

6.5 iPand impone por contrato a cada subencargado del tratamiento obligaciones de protección de datos equivalentes a las del Acuerdo, en particular garantías suficientes en cuanto a las medidas técnicas y organizativas. iPand sigue siendo responsable frente al Cliente del cumplimiento de sus obligaciones.

6.6 Los clientes MCP (asistentes de terceros como claude.ai o ChatGPT) que un miembro autoriza a leer los datos de la Organización no son subencargados del tratamiento de iPand: actúan a iniciativa y bajo la responsabilidad del Cliente, según sus propias condiciones. El Cliente puede retirarles el acceso en cualquier momento (Ajustes › Integraciones).

Artículo 7 — Transferencias fuera de la Unión Europea

7.1 Los Datos personales del Cliente se alojan en la Unión Europea, en la región de Azure «West Europe» (Países Bajos); las copias de seguridad de la base de datos, con redundancia geográfica, se conservan en ella y Azure las replica en la región emparejada «North Europe» (Irlanda), en la Unión Europea. Los tratamientos mediante modelos de lenguaje se realizan en la Unión Europea: las solicitudes y las respuestas pueden tratarse en cualquier Estado miembro de la Unión.

7.2 Cuando un subencargado del tratamiento trata datos fuera del Espacio Económico Europeo, o da acceso a ellos, la transferencia se rige por una decisión de adecuación (incluido el Data Privacy Framework UE-EE. UU. para una sociedad certificada) o por las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), completadas, si es necesario, con medidas adicionales. La lista de subencargados del tratamiento (anexo C) indica, para cada uno, el lugar de tratamiento y el mecanismo elegido.

7.3 En la fecha de la presente versión del Acuerdo:

• Proveedores de recogida y editores de motores establecidos en Estados Unidos: cláusulas contractuales tipo, módulo 2 (de responsable a encargado del tratamiento) y, para algunos, módulo 3, previstas en su acuerdo de tratamiento de datos.
• Proveedores de recogida establecidos en la Unión Europea que tratan o hacen tratar datos fuera de la Unión (en particular en Estados Unidos y el Reino Unido): la transmisión de los prompts por iPand no constituye una transferencia fuera de la Unión; sus propias transferencias se rigen por cláusulas contractuales tipo o decisiones de adecuación, según su acuerdo de tratamiento o su política de privacidad.
• Editor de motor establecido en la Unión Europea (plan A medida): la transmisión de los prompts no constituye una transferencia fuera de la Unión; recurre prioritariamente a proveedores situados en la Unión y, en casos excepcionales, a proveedores situados fuera de la Unión.
• Proveedor de envío de correos electrónicos (Estados Unidos): sociedad certificada en el Data Privacy Framework UE-EE. UU.; su acuerdo de tratamiento de datos incorpora además las cláusulas contractuales tipo, módulo 2. Los correos electrónicos se envían desde Irlanda; los datos de la cuenta (metadatos de los correos electrónicos, registros) se almacenan en Estados Unidos.
• Proveedor de alojamiento (Microsoft Ireland Operations Limited): los tratamientos se rigen por el DPA de Microsoft (Microsoft Products and Services Data Protection Addendum).
• Las API de dos proveedores de modelos sirven para una sonda técnica con prompts internos de iPand y no tratan Datos personales del Cliente. Su uso para la recogida de los clientes se anunciaría según el artículo 6.2.

Artículo 8 — Asistencia al Cliente

8.1 Derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, iPand ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de ejercicio de los derechos de los interesados. El Servicio permite al Cliente, directamente:

• acceder a los datos y exportarlos: archivo de la Organización (Ajustes › Organización, Administradores), exportaciones de las pantallas;
• rectificar los datos introducidos;
• suprimir: retirada de un miembro, archivado de un prompt, eliminación de una entidad, de una tarea, de una conversación con Pandi (borrada con sus mensajes 30 días después de su eliminación), de una marca (purga 30 días después de su eliminación);
• limitar los accesos de un miembro a determinadas marcas.

Las solicitudes no cubiertas por estas funciones se dirigen a contact@ipand.io; iPand responde a ellas en un plazo que permita al Cliente respetar el plazo de un mes del artículo 12 del RGPD. Una solicitud recibida directamente de un interesado y relativa a los Datos personales del Cliente se transmite sin demora al Cliente, sin responder a ella en cuanto al fondo, salvo instrucción del Cliente.

8.2 Otras obligaciones. iPand ayuda al Cliente a garantizar el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, violaciones, evaluación de impacto, consulta previa), teniendo en cuenta la información a su disposición, en particular facilitando la descripción de los tratamientos y de las medidas de seguridad del anexo B. Esta asistencia se presta sin coste, en una medida razonable.

Artículo 9 — Duración, devolución y supresión

9.1 El Acuerdo se aplica durante toda la vigencia de las suscripciones y hasta la supresión efectiva de los Datos personales del Cliente.

9.2 Devolución. Antes de la supresión, un Administrador puede obtener en cualquier momento un archivo de los datos de la Organización, en formato JSON y CSV, disponible 24 horas después de su preparación. Contiene la organización y sus suscripciones, los miembros y las invitaciones, las marcas (mercados, motores, etiquetas, entidades), los prompts, una vista previa de cada respuesta recogida, las páginas monitorizadas y el resultado de su último análisis, y el registro de actividad de la Organización. Las conversaciones con Pandi, las tareas y las recomendaciones, que no figuran en él, se devuelven previa solicitud dirigida a contact@ipand.io.

9.3 Supresión. Al finalizar los servicios, iPand suprime los Datos personales del Cliente, salvo obligación legal de conservación:

• finalización de la suscripción de una marca: datos de la marca purgados 12 meses después de la finalización de su última suscripción, en el tratamiento mensual siguiente; durante ese plazo, el Cliente puede volver a suscribirse previa solicitud a contact@ipand.io o solicitar el archivo, y puede obtener una supresión anticipada eliminando la marca;
• eliminación de una marca: datos purgados 30 días después de su eliminación;
• eliminación de una cuenta de miembro: sesiones, identidades de acceso vinculadas y pertenencias retiradas de inmediato; cuenta y rastros borrados 30 días después;
• conversación con Pandi eliminada por su autor: borrada con sus mensajes 30 días después de su eliminación; las tareas creadas desde la conversación se conservan; las conversaciones de un miembro retirado de la Organización se conservan hasta la eliminación de la marca o de su cuenta;
• registro de actividad de la Organización: 12 meses;
• invitaciones: borradas 90 días después de su vencimiento, tanto si se han aceptado o revocado como si no;
• Organización sin miembros ni suscripción en curso: marcada como eliminada en el tratamiento diario de la mañana y purgada 30 días después.

Una vez borrados de la base de datos, los datos desaparecen de las copias de seguridad y de los archivos en un plazo máximo de 90 días: restauración a un momento dado sobre 14 días, archivos mensuales de la base de datos conservados 90 días como máximo, eliminación reversible de los archivos durante 14 días. Los registros técnicos se conservan 30 días. Los datos siguen sujetos al Acuerdo hasta su borrado.

9.4 Previa solicitud por escrito, iPand confirma por escrito la supresión.

Artículo 10 — Información y auditoría

10.1 iPand pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD: el presente Acuerdo y sus anexos y, previa solicitud, la lista de subencargados del tratamiento y un cuestionario de seguridad cumplimentado.

10.2 El Cliente puede encargar una auditoría, a su cargo, a un auditor independiente sujeto a secreto y que no sea competidor de iPand, una vez al año como máximo (salvo violación de datos o solicitud de una autoridad de control), con un preaviso de 30 días, en horario laboral, sin acceso a los datos de los demás clientes ni a los secretos de seguridad, y sin perturbar el Servicio. La auditoría de los subencargados del tratamiento se realiza mediante sus certificaciones e informes (ISO 27001, SOC 2…).

Artículo 11 — Responsabilidad

La responsabilidad de cada parte en virtud del Acuerdo está sujeta a las limitaciones del artículo 19 de las CGC, salvo disposición imperativa en contrario; el artículo 82 del RGPD se aplica en las relaciones con los interesados.

Artículo 12 — Disposiciones varias

En caso de contradicción entre el Acuerdo y las CGC, el Acuerdo prevalece en lo relativo a la protección de los datos personales. El Acuerdo se rige por el derecho francés y se somete a los órganos jurisdiccionales designados por las CGC. iPand puede modificarlo en las condiciones del artículo 25 de las CGC; una modificación impuesta por la ley o por una autoridad se aplica sin demora.

Este texto está redactado en francés. Sus traducciones se facilitan a título informativo; en caso de discrepancia, prevalece la versión francesa.

Anexo A — Descripción de los tratamientos

Anexo B — Medidas técnicas y organizativas

Medidas vigentes en la fecha de entrada en vigor de la presente versión. Puede facilitarse información complementaria al Cliente previa solicitud, con compromiso de confidencialidad.

Alojamiento y cifrado

• Alojamiento en Microsoft Azure, región West Europe (Países Bajos); copias de seguridad de la base de datos con redundancia geográfica, en la misma región y en la región emparejada North Europe (Irlanda); ningún dato de producción fuera de estas regiones, salvo en los subencargados del tratamiento del anexo C.
• Cifrado en tránsito: TLS 1.2 como mínimo para la base de datos, el almacenamiento y la API; HTTPS obligatorio; HSTS en la API y en la aplicación.
• Cifrado en reposo de Azure SQL y de Azure Storage, activado por defecto por Azure, con claves gestionadas por Microsoft.
• Secretos en Azure Key Vault (control de acceso basado en roles, eliminación reversible durante 90 días, protección contra la purga); ningún secreto en el código.

Control de acceso

• Acceso de los servicios a los recursos mediante identidad administrada; solo autenticación de Entra para la base de datos; claves compartidas del almacenamiento y claves de acceso a los modelos de lenguaje desactivadas; acceso público anónimo a los archivos cerrado.
• Despliegue mediante identidad federada (OIDC) únicamente desde la rama principal; ningún acceso permanente mediante contraseña.
• Usuarios: acceso sin contraseña (código de un solo uso con hash, válido 10 minutos, 5 intentos; Google; Microsoft); token de acceso de 15 minutos en memoria; token de actualización en una cookie HttpOnly, Secure, SameSite=Strict, revocado en caso de reutilización; sesiones visibles y revocables.
• Aislamiento: cada solicitud verifica la pertenencia a la Organización y el acceso a la marca; un colaborador solo ve sus marcas.
• Administradores de la plataforma: en número reducido, designados en la base de datos, sin pertenencia a las Organizaciones; acciones de administración registradas.
• Acceso MCP: OAuth 2.1 con PKCE, un único ámbito de lectura, tokens de acceso de 60 minutos, revocables por el usuario.

Seguridad de las aplicaciones

• Límites de frecuencia en la autenticación, los formularios, Pandi, el servidor MCP y OAuth.
• Protección contra las solicitudes a la red interna (SSRF) para cualquier dirección facilitada por un cliente; navegador de renderizado aislado, sin secretos ni acceso a la base de datos.
• Notificaciones de los proveedores de pago y de correo electrónico verificadas mediante firma.
• Contenidos de terceros (respuestas de los motores, páginas) tratados como no fiables por Pandi y por el servidor MCP.

Registro y supervisión

• Registro de seguridad conservado 12 meses: la dirección IP y la dirección de correo electrónico solo figuran en él en forma de huella calculada con una clave secreta, nunca en claro.
• Registro de actividad de la Organización (12 meses) y registro de las acciones de administración.
• Registros técnicos conservados 30 días, con la dirección IP enmascarada.
• Alertas por correo electrónico sobre los errores del servicio, los fallos de recogida, las colas bloqueadas y los excesos de gasto.

Continuidad

• Copias de seguridad de la base de datos: restauración a un momento dado sobre 14 días; copias con redundancia geográfica, en West Europe y en la región emparejada North Europe (Irlanda).
• Archivo mensual de la base de datos, exportado y verificado en Azure, región West Europe, y conservado 90 días como máximo en el almacenamiento de Azure de esa región; no se confía ningún dato de producción al servicio de alojamiento del código.
• Eliminación reversible de los archivos durante 14 días.

Minimización y conservación

• Purgas automáticas: tratamiento diario de la mañana (cuentas, marcas, organizaciones y conversaciones eliminadas, registro de actividad, invitaciones vencidas), tratamiento mensual (marcas cuya suscripción finalizó hace 12 meses, solicitudes de contacto y de demo, opiniones, eventos de uso de más de 25 meses), limpieza horaria (códigos de acceso, registro de seguridad, sesiones, mensajes pendientes de envío, tokens vencidos).
• Conservación limitada de las respuestas brutas de los proveedores de recogida (30 días) y de las capturas de páginas (183 días).
• Modelos de lenguaje: solicitudes enviadas sin almacenamiento de las respuestas por el servicio (store: false); los modelos no se entrenan con estos datos; el proveedor conserva solicitudes y respuestas en la Unión Europea para la supervisión de abusos, durante un periodo limitado que él mismo fija, con una revisión automatizada y, si es necesario, por empleados autorizados situados en el Espacio Económico Europeo.
• Proveedores de recogida y editores de los motores: cada uno conserva las solicitudes y las respuestas de recogida según su acuerdo de tratamiento de datos, desde el tiempo necesario para generar la respuesta hasta 12 meses según el proveedor, o hasta el final del servicio; hasta 2 años para un contenido notificado en virtud de una política de uso. Para uno de los motores del plan A medida, iPand activa la conservación nula que ofrece su editor antes de abrir ese motor a la recogida. El plazo que aplica cada uno figura en la lista de subencargados del tratamiento (anexo C).
• Ningún dato de producción en los entornos de desarrollo; sin entorno de preproducción.

Organización

• Personal sujeto a confidencialidad; acceso a los datos de producción limitado a las necesidades del soporte y de la explotación.
• Procedimiento interno de gestión de las violaciones de datos.

Anexo C — Subencargados del tratamiento autorizados

La lista actualizada de subencargados del tratamiento (identidad, función, datos tratados, lugar de tratamiento y garantías de las transferencias) la mantiene iPand y se comunica al Cliente previa solicitud, en contact@ipand.io. Se avisa al Cliente por correo electrónico al menos 30 días antes de cualquier adición o sustitución de un subencargado del tratamiento, y puede oponerse a ella en las condiciones del artículo 6.