Adenda de tratamiento de datos

1. Partes y ámbito

Esta Adenda de tratamiento de datos (la «Adenda») se celebra entre PeakCore LLC, una sociedad de responsabilidad limitada de Wyoming que opera AIGROW («nosotros»), y la empresa que acepta nuestros Términos del servicio («tú»). Forma parte del acuerdo integrado por los Términos del servicio y los documentos que estos mencionan (el «Acuerdo»).

Se aplica siempre que tratemos Datos Personales del Cliente al prestarte los Servicios. Se aplica automáticamente, sin firma, desde el momento en que nos entregas por primera vez este tipo de datos. Los casos habituales son:

• los datos de tu negocio, tus competidores y los totales de tráfico de Google Analytics que guardas en un monitor;
• los datos de los clientes de una agencia, su imagen de marca y los informes de marca blanca;
• los leads que el verificador incrustado de una agencia recoge de los visitantes de su sitio;
• los datos de Search Console y la clave que conectas al motor del blog;
• los mensajes, recuerdos y documentos que entregas al asistente, y el contenido del motor del blog;
• las consultas y respuestas que pasan por nuestra API;
• los materiales que nos envías para trabajos llave en mano y notas de prensa, como reseñas de clientes, citas y nombres de tu personal.

Esta Adenda se aplica solo a clientes empresariales. No se aplica a los datos personales que tratamos como responsable del tratamiento, como los datos de tu cuenta, de facturación y de contacto, que regula la Política de privacidad.

2. Definiciones

Los términos definidos en los Términos del servicio tienen aquí el mismo significado. «Responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «tratamiento» y «autoridad de control» tienen el significado que les da el RGPD. Además:

• Datos Personales del Cliente son los datos personales que tratamos por tu cuenta al prestar los Servicios.
• Legislación de Protección de Datos es la normativa aplicable a ese tratamiento, que puede incluir el Reglamento General de Protección de Datos de la UE 2016/679 (el «RGPD»), el RGPD tal como forma parte del Derecho del Reino Unido (el «RGPD del Reino Unido»), la Ley de Protección de Datos del Reino Unido de 2018, la Ley Federal suiza de Protección de Datos (la «LPD»), la Ley de Privacidad del Consumidor de California y leyes similares de otros estados de EE. UU.
• Subencargado es un tercero al que contratamos para tratar Datos Personales del Cliente.
• Violación de la Seguridad de los Datos Personales es una violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a ellos, en sistemas que controlamos nosotros o nuestros Subencargados.
• CCT son las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.
• Adenda del Reino Unido es la Adenda sobre Transferencia Internacional de Datos a las CCT emitida por la Oficina del Comisionado de Información del Reino Unido.

3. Funciones

Tú eres el responsable del tratamiento de los Datos Personales del Cliente y nosotros somos tu encargado del tratamiento. Cuando actúas por cuenta de tu propio cliente, como hace una agencia, tú eres encargado del tratamiento, tu cliente es el responsable y nosotros somos tu subencargado. Confirmas que tu cliente te ha autorizado a darnos estas instrucciones, incluido el nombramiento de nuestros Subencargados, y sigues siendo nuestro único punto de contacto.

Somos responsables del tratamiento, y no encargados, de los datos que necesitamos para gestionar nuestro negocio: datos de cuenta y de facturación, registros de uso y costes, registros de seguridad y abusos, y estadísticas que no identifican a nadie. Podemos usar los registros de uso y esas estadísticas para operar, proteger, facturar y mejorar los Servicios, y nunca para identificar a tus interesados.

Estados Unidos. Cuando se apliquen leyes de privacidad de estados de EE. UU., actuamos como tu proveedor de servicios o contratista. No vendemos ni compartimos los Datos Personales del Cliente. No los conservamos, usamos ni divulgamos para ningún fin distinto de la prestación de los Servicios conforme al Acuerdo, ni fuera de nuestra relación comercial directa contigo, y no los combinamos con datos personales de otras fuentes, salvo en lo que esas leyes permitan. Cumplimos las obligaciones que esas leyes nos imponen y te avisaremos si dejamos de poder cumplirlas. Entonces podrás adoptar medidas razonables y adecuadas para detener y corregir un uso no autorizado.

4. Tratamiento según tus instrucciones

Tratamos los Datos Personales del Cliente únicamente según tus instrucciones documentadas, también en lo relativo a transferencias internacionales, salvo que la ley exija otra cosa. En ese caso, te informamos de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba.

Tus instrucciones son esta Adenda, el Acuerdo, los ajustes que eliges, la forma en que usas los Servicios y cualquier otra instrucción por escrito que aceptemos. Elegir una función, un modelo o una dirección de entrega es una instrucción. Por ejemplo, cuando eliges un modelo en el asistente o en la API, enviar tu contenido al proveedor de ese modelo forma parte de tus instrucciones.

Te avisaremos si, en nuestra opinión, una instrucción infringe la Legislación de Protección de Datos. No estamos obligados a comprobar que tus instrucciones cumplan la ley, y podemos suspender el tratamiento afectado hasta que confirmes o cambies la instrucción.

Eres responsable de la licitud del tratamiento que ordenas: contar con una base jurídica, facilitar la información y obtener los consentimientos que exija la ley, y la exactitud de los datos que proporcionas. Los Servicios no están diseñados para categorías especiales de datos personales, antecedentes penales ni datos de menores. No nos entregues esos datos salvo que sean necesarios para el Servicio y su tratamiento sea lícito.

5. Confidencialidad

Permitimos el acceso a los Datos Personales del Cliente solo a las personas que lo necesitan para prestar, atender o proteger los Servicios, y que están sujetas a obligaciones de confidencialidad o a un deber legal de confidencialidad.

Si un tribunal, una autoridad u otro tercero nos solicita Datos Personales del Cliente, lo remitimos a ti siempre que podamos. Te informamos de la solicitud salvo que la ley lo prohíba, y divulgamos únicamente lo que estemos legalmente obligados a divulgar.

6. Seguridad

Aplicamos medidas técnicas y organizativas que garantizan un nivel de seguridad adecuado al riesgo, como exige el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Las medidas vigentes hoy se exponen a continuación y constituyen el Anexo II a efectos de las CCT.

Podemos modificar estas medidas a medida que evolucionen la tecnología y los riesgos, siempre que el cambio no reduzca sustancialmente el nivel general de seguridad. Eres responsable de la seguridad de tu propia cuenta, de tus dispositivos, claves de API y enlaces de informes, y de los datos que decidas subir. Nuestra página de seguridad describe cómo funciona AIGROW.

7. Subencargados

Nos otorgas una autorización general para contratar Subencargados. Las categorías que usamos, con su ubicación, figuran en el anexo siguiente. La lista actual de Subencargados está disponible previa solicitud en privacy@aigrow.gg.

Te avisaremos por correo electrónico, a la dirección de tu cuenta, al menos 14 días antes de que un nuevo Subencargado empiece a tratar Datos Personales del Cliente. Puedes oponerte por motivos razonables relacionados con la protección de datos escribiendo a privacy@aigrow.gg dentro de ese plazo. Hablaremos de tus inquietudes de buena fe. Si no podemos resolverlas, puedes dar por terminado el Servicio afectado mediante notificación por escrito, y la Política de reembolsos se aplica a las cantidades pagadas. Este es tu único recurso frente a una oposición.

Cuando debamos sustituir a un Subencargado con urgencia, por seguridad o para mantener los Servicios en funcionamiento, podemos hacerlo de inmediato y te avisaremos lo antes posible después, con el mismo derecho de oposición.

Imponemos a cada Subencargado, mediante contrato escrito, obligaciones de protección de datos que en esencia ofrecen la misma protección que esta Adenda, como exige el artículo 28(4) del RGPD. Seguimos siendo responsables ante ti del cumplimiento de las obligaciones de nuestros Subencargados.

8. Asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, te asistimos en:

• responder a las solicitudes de los interesados que ejercen sus derechos, mediante las funciones de los Servicios y, cuando estas no basten, previa solicitud en privacy@aigrow.gg;
• tus obligaciones de seguridad, las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control, facilitándote información sobre los Servicios.

Si un interesado se dirige directamente a nosotros en relación con Datos Personales del Cliente, lo remitimos a ti y no respondemos nosotros, salvo para confirmar que hemos trasladado la solicitud.

Cuando la asistencia vaya más allá de las funciones y la información que los Servicios ya ofrecen, podemos cobrar costes razonables, que te comunicaremos por adelantado, salvo que la asistencia sea necesaria porque hayamos incumplido esta Adenda.

9. Violaciones de la seguridad de los datos personales

Te notificamos sin demora indebida tras tener conocimiento de una Violación de la Seguridad de los Datos Personales, por correo electrónico a la dirección de tu cuenta. A medida que dispongamos de ella, te facilitamos la información enumerada en el artículo 33(3) del RGPD:

• la naturaleza de la violación, incluidos, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;
• un punto de contacto donde obtener más información;
• las posibles consecuencias de la violación;
• las medidas adoptadas o propuestas para abordarla y mitigar sus posibles efectos adversos.

Tomamos medidas razonables para contener y subsanar la violación. Tú eres responsable de cualquier notificación a las autoridades de control y a los interesados, y te ayudaremos como describe la sección sobre asistencia.

Los intentos o actividades infructuosos que no comprometen la seguridad de los Datos Personales del Cliente, como los intentos fallidos de inicio de sesión, los pings, los escaneos de puertos o los ataques bloqueados, no son Violaciones de la Seguridad de los Datos Personales. Nuestra notificación de una violación no es un reconocimiento de culpa ni de responsabilidad.

10. Devolución y supresión

Mientras uses los Servicios, puedes eliminar por ti mismo gran parte de tus datos, como un monitor, un sitio de blog conectado, un documento o una memoria del asistente, y puedes pedir a privacy@aigrow.gg una copia del resto.

Cuando los Servicios terminen, o en cualquier momento a petición tuya por escrito a privacy@aigrow.gg, devolveremos o suprimiremos los Datos Personales del Cliente en un plazo razonable, según elijas, salvo que la ley nos obligue a conservarlos. Si lo pides, confirmaremos la supresión por escrito. Si no haces ninguna petición, suprimiremos los Datos Personales del Cliente cuando ya no los necesitemos para prestar los Servicios, tal como describe la Política de privacidad.

Los datos que debamos conservar por ley siguen protegidos por este DPA y se tratan únicamente para la finalidad que exige su conservación.

11. Información y auditorías

Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Lo hacemos primero por escrito: mediante este DPA, nuestra página de seguridad y respuestas escritas a tus preguntas razonables sobre nuestro tratamiento. No contamos con certificaciones de terceros como SOC 2 o ISO 27001.

Solo se realizará una inspección cuando la Legislación de Protección de Datos o una autoridad de control la exija y la información escrita no satisfaga ese requisito. En ese caso:

• nos darás un preaviso razonable por escrito y acordarás con nosotros el alcance, el momento y la duración;
• la realizarás tú o un auditor independiente sujeto a confidencialidad que no sea competidor nuestro;
• se llevará a cabo en horario laboral, evitará perturbar los Servicios y no dará acceso a los datos de otros clientes ni a nuestra información confidencial más allá de lo que la inspección necesite;
• tú asumirás sus costes, incluidos los nuestros;
• tendrá lugar como máximo una vez al año, salvo que una autoridad de control exija más.

Las auditorías conforme a las CCT se realizan del mismo modo, en la medida en que las CCT lo permitan.

12. Transferencias internacionales

Tratamos los Datos Personales del Cliente en Estados Unidos y en Alemania, y autorizas las transferencias a esos países y a las ubicaciones de nuestros Subencargados.

Transferencias sujetas al RGPD

Cuando los Datos Personales del Cliente sujetos al RGPD se transfieran a nosotros, o de nosotros a un Subencargado, en un país sin decisión de adecuación, las CCT se incorporan a este DPA por referencia: el Módulo 2 cuando eres responsable del tratamiento y el Módulo 3 cuando eres encargado. Tú eres el exportador de datos y nosotros somos el importador de datos. Respecto a las CCT:

• se aplica la cláusula de acoplamiento de la Cláusula 7;
• en la Cláusula 9 se aplica la opción 2, con el plazo de preaviso establecido en la sección sobre Subencargados;
• no se aplica el texto facultativo de la Cláusula 11;
• en la Cláusula 13, la autoridad de control competente se determina conforme a la Cláusula 13(a);
• en las Cláusulas 17 y 18 se aplican la ley y los tribunales de Irlanda;
• el Anexo I lo completan las partes designadas en este DPA y el anexo sobre los detalles del tratamiento, el Anexo II las medidas de seguridad de este DPA, y el Anexo III la lista de Subencargados disponible previa solicitud.

Cuando actúes como agencia por cuenta de tus clientes, un cliente que sea responsable del tratamiento podrá adherirse a las CCT conforme a la Cláusula 7 mediante notificación por escrito a privacy@aigrow.gg, con tu consentimiento.

Reino Unido. Para las transferencias sujetas al UK GDPR, se incorpora por referencia el Anexo del Reino Unido. La Tabla 1 se completa con los datos de las partes de este DPA, la Tabla 2 con las CCT según lo indicado más arriba, y la Tabla 3 con los anexos de este DPA. En la Tabla 4, el importador puede poner fin al Anexo del Reino Unido según permite su Sección 19.

Suiza. Para las transferencias sujetas a la FADP, se aplican las CCT con estas modificaciones: el Comisionado Federal de Protección de Datos e Información es la autoridad de control competente, las referencias al RGPD se entienden hechas a la FADP, y los interesados en Suiza pueden ejercer acciones en el lugar de su residencia habitual.

Cuando un destinatario esté certificado en el Marco de Privacidad de Datos UE-EE. UU., o en su extensión para el Reino Unido o Suiza, podremos basarnos en esa certificación en su lugar. Si un mecanismo de transferencia se sustituye o deja de ser válido, podremos adoptar otro mecanismo lícito y te lo comunicaremos.

Si las CCT o el Anexo del Reino Unido entran en conflicto con este DPA, prevalecen sobre él en las transferencias que abarcan.

13. Responsabilidad

En la medida en que la ley lo permita, la responsabilidad de cada parte derivada de este DPA o relacionada con él, incluidas las CCT, está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos del servicio. Esos límites se aplican al Acuerdo y a este DPA de forma conjunta, no por separado.

Nada de lo dispuesto en este DPA limita la responsabilidad frente a los interesados conforme a las CCT, ni cualquier responsabilidad que no pueda limitarse según la ley aplicable.

En la medida en que la ley lo permita, nos indemnizarás frente a reclamaciones de terceros, multas y costes derivados de un tratamiento realizado siguiendo tus instrucciones cuando esas instrucciones, o los datos que facilitaste, infringieran la Legislación de Protección de Datos.

14. Vigencia, prelación y modificaciones

Este DPA permanece vigente mientras tratemos Datos Personales del Cliente. Sobrevive a la terminación del Acuerdo hasta que esos datos se devuelvan o se supriman.

Si los documentos entran en conflicto, se aplica este orden: un pedido o acuerdo escrito firmado por ambas partes, después las Condiciones específicas del servicio del producto de que se trate, después este DPA en materia de protección de datos, después los Términos del servicio, y después nuestras demás políticas. Las CCT y el Anexo del Reino Unido prevalecen según establece la sección sobre transferencias internacionales. La ley imperativa prevalece sobre todos ellos.

Podemos actualizar este DPA, por ejemplo para reflejar cambios en la ley o en nuestros Subencargados. Te avisaremos por correo electrónico con al menos 30 días de antelación de cualquier cambio que reduzca de forma sustancial la protección de los Datos Personales del Cliente. Ningún cambio reducirá la protección que exige la Legislación de Protección de Datos.

Este DPA se rige por la ley que rige los Términos del servicio, salvo que las CCT se rigen por la ley que especifiquen sus cláusulas. Si necesitas una copia contrafirmada para tus archivos, escribe a legal@aigrow.gg.

15. Anexo: detalles del tratamiento

Este anexo describe el tratamiento a efectos del artículo 28(3) del RGPD y del Anexo I de las CCT.

16. Anexo: categorías de Subencargados

Estas son las categorías de Subencargados que pueden tratar Datos Personales del Cliente, con sus ubicaciones. La lista actual de Subencargados designados está disponible previa solicitud a privacy@aigrow.gg.