Acuerdo de tratamiento de datos

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de nuestros Términos del Servicio y aplica automáticamente a cada cliente. Se compone de los Términos Clave de esta página, los Anexos I a III que siguen, la Adenda de Privacidad Estatal de EE. UU. que sigue y los Common Paper DPA Standard Terms Version 1.1 en https://commonpaper.com/standards/data-processing-agreement/1.1/ ("Términos Estándar del DPA"), incorporados por referencia. Esta página prevalece sobre los Términos Estándar del DPA si se contradicen. Los clientes que necesiten una copia firmada por ambas partes pueden pedirla en support@senti.now. Los Términos Estándar del DPA son de Common Paper, Inc., y se usan bajo la licencia CC BY 4.0.

• Acuerdo (Agreement): nuestros Términos del Servicio, o un formulario de pedido firmado para la cuenta.
• Subencargados Aprobados (Approved Subprocessors): las categorías y ubicaciones del Anexo III. Los nombres se entregan al cliente que los solicite. Notificamos a los clientes por correo electrónico al menos 30 días antes de agregar o reemplazar un subencargado; el cliente puede oponerse según lo previsto en los Términos Estándar del DPA.
• Contacto de Seguridad del Proveedor (Provider Security Contact): support@senti.now, 8 The Green, Suite R, Dover, Delaware 19901, USA.
• Política de Seguridad (Security Policy): las medidas del Anexo II.
• Reclamación Cubierta del DPA, Límite de Responsabilidad del DPA (DPA Covered Claim, DPA Liability Cap): ninguno; aplican los límites del Acuerdo.
• Ley Aplicable y Tribunales Elegidos (Governing Law and Chosen Courts): como en el Acuerdo (Delaware), salvo cuando las Cláusulas Contractuales Tipo exijan otra cosa.
• Relación de Proveedor de Servicios (Service Provider Relationship): aplica (los términos de proveedor de servicios de la California Consumer Privacy Act incluidos en los Términos Estándar del DPA), junto con la Adenda de Privacidad Estatal de EE. UU.
• Transferencias Restringidas (Restricted Transfers): Estado Miembro cuya ley rige las transferencias del EEE: Irlanda. Transferencias del Reino Unido: Inglaterra y Gales.
• Publicaciones públicas: las publicaciones públicas y los datos de sus autores que aparecen en los informes los recopila y almacena el Proveedor como responsable independiente conforme a su Política de Privacidad. No son Datos Personales del Cliente en virtud de este DPA.

A. Partes

• Exportador de datos: el Cliente indicado en la cuenta (nombre y correo electrónico del titular de la cuenta; dirección a solicitud). Función: responsable (o encargado de sus propios clientes, cuando es una agencia).
• Importador de datos: Voy Travel Inc., 8 The Green, Suite R, Dover, Delaware 19901, USA; contacto support@senti.now. Actividades: prestar Senti. Función: encargado.

B. Tratamiento

• Servicio: Senti.
• Categorías de interesados: los usuarios y miembros del equipo del Cliente; las personas que el Cliente invita; las figuras públicas que el Cliente agrega para su análisis.
• Categorías de datos personales: nombres y direcciones de correo electrónico; registros de cuenta, equipo e invitaciones; actividad del usuario en el servicio (informes, configuraciones, reglas de alerta, respuestas de revisión, correcciones de etiquetas); huellas digitales de claves de API, direcciones de endpoints de webhook y registros de envío; logotipo de agencia y línea "Preparado por"; nombres de figuras públicas agregadas para su análisis.
• Datos de categorías especiales: ninguno.
• Frecuencia de la transferencia: continua.
• Naturaleza y finalidad: recibir, conservar, usar, proteger, devolver y eliminar datos para prestar el servicio conforme al Acuerdo.
• Duración: como en los Términos Estándar del DPA (la vigencia del Acuerdo y luego la eliminación).

C. Autoridad de control competente

Como en los Términos Estándar del DPA.

1. Cifrado: TLS para todo el tráfico; datos en reposo cifrados por los proveedores de base de datos y de hosting.
2. Confidencialidad e integridad: seguridad a nivel de fila en cada tabla de clientes; claves de proveedores y la clave del rol de servicio solo en el servidor; claves de API guardadas como huellas digitales; webhooks firmados.
3. Disponibilidad y restauración: copias de seguridad diarias de la base de datos conservadas 7 días; un simulacro de restauración documentado en el entorno de pruebas (staging).
4. Pruebas: pruebas unitarias y de extremo a extremo automatizadas e integración continua (CI) en cada cambio; verificación externa de disponibilidad cada 10 minutos.
5. Identificación y autorización: enlaces de inicio de sesión por correo electrónico de un solo uso o Google; permisos de administrador guardados como un rol en la base de datos; verificación contra bots en el inicio de sesión.
6. Datos en tránsito: solo HTTPS.
7. Datos en reposo: cifrado administrado por el proveedor.
8. Seguridad física: la proporcionan los centros de datos de nuestros proveedores de hosting y base de datos.
9. Registros: monitoreo de errores y registros del servidor, conservados hasta 90 días.
10. Configuración: infraestructura y configuración en código, revisadas y versionadas; sin credenciales predeterminadas.
11. Gobernanza: acceso limitado a las personas que operan el servicio.
12. Certificación: ninguna propia; nuestros principales proveedores cuentan con informes SOC 2 o ISO 27001.
13. Minimización: los proveedores de IA reciben solo texto de publicaciones o cifras de informes, nunca datos de cuentas.
14. Calidad de los datos: los clientes pueden corregir etiquetas en sus propios informes.
15. Conservación: texto, autor y enlace de las publicaciones públicas eliminados 400 días después de su publicación.
16. Responsabilidad proactiva: procedimientos escritos para eliminación, retiro de contenido e incidentes.
17. Portabilidad y supresión: exportación y eliminación de la cuenta por autoservicio.

Esta adenda se aplica a los Datos Personales del Cliente sujetos a la California Consumer Privacy Act, modificada por la CPRA, y sus reglamentos, y a las leyes integrales de privacidad del consumidor de otros estados de EE. UU. (incluidos Colorado, Connecticut, Virginia, Utah, Texas, Oregón, Montana, Delaware, Iowa, Nebraska, Nuevo Hampshire, Nueva Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky y Rhode Island), cada una según esté vigente ("Leyes Estatales de Privacidad de EE. UU."). El Proveedor es el "proveedor de servicios" (service provider) o "encargado" (processor) del Cliente conforme a ellas. El Proveedor: (a) tratará los Datos Personales del Cliente solo para los fines comerciales previstos en el Acuerdo y en las instrucciones del Cliente; (b) no los venderá ni compartirá, ni los usará para publicidad dirigida; (c) no los conservará, usará ni divulgará fuera de la relación comercial directa con el Cliente, ni los combinará con información personal de otras fuentes, salvo en la medida en que lo permitan las Leyes Estatales de Privacidad de EE. UU.; (d) cumplirá las Leyes Estatales de Privacidad de EE. UU. y brindará el mismo nivel de protección que estas exigen; (e) informará al Cliente si ya no puede cumplir estas obligaciones, y permitirá que el Cliente tome medidas razonables para detener y remediar el uso no autorizado; (f) ayudará al Cliente a responder las solicitudes de los consumidores; (g) obligará a su personal a la confidencialidad y a sus subencargados a términos escritos al menos igual de protectores; (h) eliminará o devolverá los Datos Personales del Cliente al final del Acuerdo, salvo que la ley exija conservarlos; y (i) pondrá a disposición la información necesaria para demostrar el cumplimiento, y permitirá una evaluación razonable una vez al año, a costa del Cliente, con 30 días de aviso. Si esta adenda y los Términos Estándar del DPA se contradicen en lo relativo a las Leyes Estatales de Privacidad de EE. UU., prevalece esta adenda.

Los clientes que necesiten un acuerdo de tratamiento de datos firmado, los nombres de nuestros subencargados o aviso previo de nuevos subencargados pueden pedirlo en support@senti.now; los nombres de los subencargados se entregan en virtud de este DPA.