Contrato de encargo del tratamiento

1. Objeto, naturaleza y duración

El encargado (Zubi Labs Impact, S.L.U.) trata los datos por cuenta del responsable (el cliente) con un único fin: prestarle el servicio OnBrain, es decir, alojar su instancia, mantenerla, hacer sus copias de seguridad y darle soporte. El tratamiento incluye conservar, organizar, consultar, clasificar con IA, transmitir cuando el cliente aprueba un envío, y suprimir.

Dura lo mismo que el contrato de servicio.

2. Datos e interesados

• Categorías de datos: identificativos y de contacto; contenido de correos, mensajes y documentos; eventos de calendario; notas de voz y su transcripción; la memoria y las fichas de personas que OnBrain elabora a partir de todo ello. Pueden aparecer categorías especiales de datos si llegan en esos contenidos: el encargado no las busca ni las trata de forma distinta.
• Interesados: el propio cliente y las personas con las que se comunica (contactos, clientes, proveedores, asistentes a reuniones).

3. Obligaciones del encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y el uso que hace de la aplicación. Si una instrucción infringe la normativa, avisará de inmediato.
2. No usar los datos para ningún fin propio, incluido el entrenamiento de modelos de IA, ni comunicarlos a terceros salvo a los subencargados autorizados o por obligación legal.
3. Garantizar que quien acceda a los datos se ha comprometido a guardar confidencialidad. El acceso se limita a lo imprescindible para mantener la instancia o resolver una incidencia.
4. Aplicar las medidas de seguridad descritas en Seguridad, apropiadas al riesgo según el artículo 32 del RGPD.
5. Ayudar al responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, evaluación de impacto y consulta previa, en la medida de lo posible.
6. Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que pueda notificarla a su vez.
7. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con antelación.

4. Subencargados

El responsable autoriza de forma general a los subencargados listados en Seguridad. El encargado avisará con al menos 30 días de antelación antes de añadir o sustituir uno, y el responsable podrá oponerse; si no hay acuerdo, podrá terminar el contrato sin penalización. Cada subencargado queda sujeto a obligaciones de protección de datos equivalentes a las de este contrato.

Si el responsable usa su propia cuenta con el proveedor de IA, ese proveedor no es subencargado nuestro: lo contrata el responsable directamente, con sus propias condiciones.

5. Transferencias internacionales

Los datos se alojan en la UE. Los proveedores de IA procesan en Estados Unidos, salvo que el responsable use su propia cuenta con residencia de datos en la UE; esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.

6. Obligaciones del responsable

• Tener base legal para el tratamiento de los datos que llegan a sus cuentas e informar a los interesados cuando corresponda.
• Revisar lo que aprueba antes de enviarlo.
• Custodiar sus credenciales de acceso a la instancia.

7. Fin del encargo

Al terminar el servicio, el encargado entregará al responsable, si lo pide, una copia completa de su base de datos, y después suprimirá la instancia y todos sus datos. Las copias de seguridad se eliminan en su ciclo normal de rotación, en un máximo de 35 días. Solo se conservará lo que exija la ley, debidamente bloqueado.