Contrato de encargado del tratamiento Contrato de encargado del tratamiento

Este documento regula el tratamiento de datos personales que Calltek Network SL ("el encargado") realiza por cuenta del cliente ("el responsable") al prestar la plataforma Kujira. Entra en vigor al contratar el servicio, sin necesidad de una firma independiente. La cláusula 10 indica cómo solicitar una copia firmada.

Tratamos los datos de tu organización únicamente siguiendo tus instrucciones documentadas: la configuración de retención, los permisos de acceso y el comportamiento de tus agentes que estableces en la plataforma. No los tratamos para ningún fin propio ni ajeno a la prestación del servicio. Si consideramos que alguna instrucción contraviene el RGPD u otra normativa de protección de datos aplicable, te lo comunicaremos antes de ejecutarla.

El acceso a los datos personales se limita al personal que lo necesita para operar la plataforma o prestar soporte a tu organización. Las personas autorizadas están sujetas a un deber contractual de confidencialidad que se mantiene tras finalizar su relación con nosotros.

Las credenciales de terceros y las claves privadas se almacenan cifradas en una bóveda mediante AES-256-GCM. Como propietario de la organización (rol OWNER), o a través de los administradores que designes, determinas los permisos de acceso, uso y administración. No modificamos esos permisos por iniciativa propia. Las acciones sensibles se registran en un sistema de auditoría cuyos registros no pueden modificarse ni eliminarse desde la aplicación.

Estos son los proveedores que tratan datos por nuestra cuenta para operar la plataforma:

• Stripe — Cobros y suscripciones.
• Resend — Envío de los correos de la plataforma.
• Cloudflare R2 — Almacenamiento de ficheros.
• Sentry — Monitorización y registro de errores de la plataforma.

Si añadimos o cambiamos alguno, te avisaremos con antelación para que puedas oponerte antes de que empiece a tratar tus datos.

Alguno de nuestros subencargados de la cláusula anterior puede tratar datos fuera del Espacio Económico Europeo. Cuando eso ocurre, nos amparamos en las cláusulas contractuales tipo de la Unión Europea u otra garantía equivalente que ese proveedor ofrezca.

Los proveedores de modelos de IA, los servidores de ejecución y los destinos de copias de seguridad que eliges y contratas directamente no forman parte de nuestra cadena de subencargados. Te corresponde gestionar esas relaciones, incluidas las transferencias internacionales que impliquen.

Si recibimos una solicitud de ejercicio de derechos sobre datos tratados por cuenta de tu organización, te la comunicaremos y colaboraremos en su atención. Si detectamos una violación de seguridad que afecte a esos datos, te lo notificaremos sin dilación indebida, conforme al artículo 33.2 del RGPD.

Al finalizar el contrato, devolveremos o eliminaremos los datos tratados por cuenta de tu organización, según tu elección y conforme a la política de privacidad. Si no indicas una preferencia, se eliminarán según los plazos de esa política, salvo los datos cuya conservación sea legalmente obligatoria.

Los datos de una organización no se eliminan individualmente de las copias de seguridad. Quedan fuera del uso ordinario y se eliminan al finalizar el ciclo de rotación de las copias. Solo podrán restaurarse para recuperar el servicio tras un incidente.

Tu organización, como responsable del tratamiento, puede solicitar información para verificar el cumplimiento de estas obligaciones. Facilitaremos la documentación o los cuestionarios de seguridad disponibles. Si la verificación requiere una auditoría de mayor alcance, acordaremos previamente sus condiciones y fecha.

Si tu organización necesita este documento como anexo firmado del contrato, escríbenos a soporte@kujira.so para solicitar una copia firmada.