Acuerdo de Tratamiento de Datos
Introducción
Este acuerdo regula el tratamiento de datos personales por revzper SAS (encargado del tratamiento) por cuenta del cliente (responsable del tratamiento).
1. Ámbito e instrucciones
El encargado del tratamiento tratará los datos personales únicamente siguiendo instrucciones escritas proporcionadas a través de un canal seguro y registradas en los registros de tratamiento del responsable del tratamiento. revzper SAS confirmará la recepción de las instrucciones y documentará todas las medidas de cumplimiento adoptadas en respuesta. El encargado del tratamiento garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a mantener la confidencialidad. El encargado del tratamiento aplicará medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo. El encargado del tratamiento ayudará al responsable del tratamiento a garantizar el cumplimiento de las obligaciones.
2. Código fuente y metadatos del repositorio
Cuando el responsable del tratamiento los presente para su análisis, los datos personales tratados en virtud del presente Acuerdo incluyen el código fuente y los metadatos del repositorio: rutas de archivos, asuntos, fechas y recuentos de las confirmaciones, y líneas de configuración, que pueden identificar a los colaboradores del responsable del tratamiento, así como los nombres, números de proceso y horas de inicio de los programas que se ejecutan en los ordenadores del responsable del tratamiento.
Ref: GDPR Art. 28(3)
3. No entrenamiento con datos personales
revzper SAS no utiliza los datos personales tratados en virtud del presente Acuerdo para entrenar o ajustar modelos de AI. El ajuste de un modelo para el responsable del tratamiento requiere un acuerdo escrito separado con el responsable del tratamiento y se lleva a cabo únicamente con datos que el responsable del tratamiento haya designado explícitamente para ese fin. La única excepción es la información que un usuario envía a través de una aplicación después de marcar, para dicha información, una casilla separada que se desmarca cada vez y que nunca se marca para el usuario. revzper SAS trata entonces dicha información como responsable del tratamiento, sobre la base del consentimiento del usuario: elimina los secretos y los datos que identifican a una persona antes de que la información se incorpore a un conjunto de datos; utiliza dicho conjunto de datos únicamente para probar, entrenar y ajustar los modelos de AI que sirven a las funcionalidades de la plataforma para todos los usuarios, nunca un modelo creado para otro cliente; puede hacer que el entrenamiento lo lleve a cabo un proveedor de AI en la Unión Europea que actúe como su encargado del tratamiento, en virtud de un contrato que prohíbe a dicho proveedor utilizar el conjunto de datos para sí mismo; y conserva cada elemento durante un máximo de un año. El responsable del tratamiento sigue siendo responsable de que sus usuarios tengan derecho a compartir el contenido que adjuntan a sus comentarios.
Ref: GDPR Art. 28(3)(a), GDPR Art. 28(10)
4. Medidas posteriores a la terminación
Tras la terminación del presente Acuerdo o de las instrucciones del responsable del tratamiento, revzper SAS deberá:
Medidas predeterminadas
- Eliminar todos los datos personales en un plazo de 30 días desde la terminación, salvo que el responsable del tratamiento indique lo contrario por escrito.
- Devolver todos los datos personales al responsable del tratamiento en un formato estructurado, de uso común y legible por máquina, si el responsable del tratamiento lo solicita por escrito en un plazo de 15 días desde la terminación.
- Proporcionar al responsable del tratamiento una certificación escrita que confirme la finalización de la eliminación o devolución, incluida la fecha y el método de la medida adoptada.
- Permitir que el responsable del tratamiento verifique el cumplimiento de esta cláusula previa solicitud razonable.
Obligaciones adicionales
- revzper SAS no conservará ningún dato personal más allá de la finalización de las medidas anteriores, salvo que la ley lo exija.
Lugar de tratamiento y subencargados
Todo tratamiento de datos personales en virtud del presente Acuerdo tiene lugar dentro de la Unión Europea. Los datos personales están alojados en Francia (región de París) por Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Los datos de pago son tratados por Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, como responsable independiente del tratamiento conforme a sus propios términos. Las funcionalidades de AI son tratadas por Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, implementaciones en la zona de datos de la Unión Europea en un recurso en Francia) y por Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, datos alojados en la Unión Europea), como subencargados del tratamiento. Todo proveedor de AI configurado a solicitud del responsable del tratamiento se identifica ante dicho responsable antes de su uso. revzper SAS informará al responsable del tratamiento antes de contratar a cualquier otro subencargado.
2. Proveedores y modelos de AI elegidos por el responsable del tratamiento
Cuando el responsable del tratamiento, o un usuario que actúe por cuenta de este, tenga una funcionalidad de AI prestada por un proveedor de AI configurado con la cuenta propia del responsable del tratamiento o del usuario, o por un modelo que se ejecute en los propios equipos del responsable del tratamiento, dicho proveedor o modelo es contratado por el responsable del tratamiento y no es un subencargado de revzper SAS; revzper SAS como máximo le transmite las solicitudes. El responsable del tratamiento es responsable de dicha elección, de su acuerdo con dicho proveedor y de la licitud de la transferencia de datos personales resultante, cualquiera que sea la función que desempeñe en el servicio el usuario que la haya realizado, incluido el creador o administrador.
Ref: GDPR Art. 24, GDPR Art. 28(2)