Acuerdo de Encargo del Tratamiento

1.1 Definiciones. En el presente Acuerdo de Encargo:

(a) Se entiende por «Datos personales del Cliente» (Customer Personal Data) los datos personales comprendidos en los Datos del Cliente que Veliu trata por cuenta del Cliente al prestar los Servicios.

(b) Se entiende por «Normativa de protección de datos» (Data Protection Law) el Reglamento (UE) 2016/679 (el «RGPD» (GDPR)), la Ley irlandesa de Protección de Datos de 2018 (Data Protection Act 2018) y las demás normas de la Unión Europea y de los Estados miembros en materia de datos personales que resulten aplicables al tratamiento y, cuando sean aplicables, el RGPD del Reino Unido (UK GDPR) y la Ley Federal suiza de Protección de Datos.

(c) Se entiende por «Violación de la seguridad de los datos» (Personal Data Breach) toda violación de la seguridad de los datos personales, según se define en el artículo 4.12 del RGPD, que afecte a Datos personales del Cliente.

(d) Se entiende por «Cláusulas contractuales tipo» (Standard Contractual Clauses) las cláusulas que figuran en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión.

(e) Se entiende por «Subencargado» (Subprocessor) todo encargado del tratamiento al que Veliu recurra para tratar Datos personales del Cliente.

1.2 Roles. El Cliente es el responsable del tratamiento de los Datos personales del Cliente y Veliu es su encargado del tratamiento.

1.3 Veliu como responsable del tratamiento. Veliu es responsable del tratamiento de (a) la Telemetría anonimizada que deriva conforme a la cláusula 11 y (b) los datos personales de los Usuarios que trata para administrar sus cuentas, facturar al Cliente, comunicarse con los Usuarios y comprender cómo se utilizan los Servicios, tal como se describe en la Política de privacidad de Veliu.

1.4 Responsabilidades del Cliente. El Cliente garantiza que sus instrucciones cumplen la Normativa de protección de datos, que dispone de una base jurídica para el tratamiento y que facilita a sus visitantes y clientes la información, y obtiene de ellos los consentimientos, que exige la ley, también en lo relativo al Veliu code instalado en su sitio web.

2.1 Objeto y finalidad. Veliu trata los Datos personales del Cliente para prestar los Servicios conforme al Contrato y a cada Pedido: para ejecutar el Brand Agent en el sitio web del Cliente y en los demás canales indicados en el Pedido, para preparar y escribir en los sistemas del Cliente los cambios que el Cliente apruebe, para leer el software que el Cliente conecte y para proporcionar analítica, recomendaciones, soporte y seguridad.

2.2 Naturaleza. Recogida, registro, organización, conservación, extracción, consulta, análisis, utilización en conversaciones y en la inferencia de modelos, comunicación a Subencargados y supresión.

2.3 Duración. La vigencia del Contrato y, tras ella, los plazos previstos en la cláusula 10.

2.4 Categorías de datos personales.

(a) Datos de catálogo y de producto. Cualesquiera datos personales contenidos en los datos de catálogo y de producto del Cliente.

(b) Datos de visitantes y clientes. El contenido de las conversaciones entre el Brand Agent y los visitantes y clientes del sitio web del Cliente, identificadores en línea, datos del dispositivo, del navegador y de uso, la dirección IP y la ubicación aproximada, y datos de pedidos, como referencias de pedido, productos e importes.

(c) Datos del software conectado. Datos de analítica y de consolas de búsqueda (search console), en la medida en que contengan datos personales, y la dirección de correo electrónico de cada cuenta conectada.

(d) Datos de las cuentas del personal. Nombres, direcciones de correo electrónico profesionales y funciones de los Usuarios del Cliente, tal como se utilizan en los Servicios por cuenta del Cliente.

2.5 Categorías de interesados. Los visitantes del sitio web y de los demás canales del Cliente, incluidas las personas por cuenta de las cuales un agente de IA conversa con el Brand Agent; los clientes del Cliente; el personal y los Usuarios del Cliente; y cualquier otra persona física cuyos datos personales incluya el Cliente en los Datos del Cliente.

3.1 Instrucciones documentadas. Veliu trata los Datos personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias a un tercer país, salvo que el Derecho de la Unión o de los Estados miembros exija otra cosa; en tal caso, Veliu informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

3.2 Contenido. Las instrucciones documentadas del Cliente son el presente Acuerdo de Encargo, el Contrato y cada Pedido, la configuración que el Cliente elija en los Servicios, las aprobaciones que otorgue en el back office y cualquier otra instrucción escrita coherente con ellos. El Cliente instruye a Veliu para que derive Telemetría conforme a la cláusula 11.

3.3 Instrucciones ilícitas. Veliu informará inmediatamente al Cliente si, en su opinión, una instrucción infringe la Normativa de protección de datos, y podrá suspender la ejecución de dicha instrucción hasta que las Partes acuerden cómo proceder.

4.1 Personas autorizadas. Todo empleado y colaborador externo al que Veliu autorice a tratar Datos personales del Cliente está sujeto a un deber de confidencialidad, contractual o legal, y accede a dichos datos solo en la medida necesaria para prestar los Servicios o cumplir la ley.

5.1 Medidas. Veliu aplica y mantiene las medidas técnicas y organizativas del Anexo 2, que garantizan un nivel de seguridad adecuado al riesgo conforme al artículo 32 del RGPD.

5.2 Actualizaciones. Veliu podrá actualizar dichas medidas, siempre que se mantenga o mejore el nivel global de protección.

6.1 Autorización. El Cliente otorga a Veliu una autorización general por escrito para recurrir a los Subencargados del Anexo 3 y a otros Subencargados conforme a la presente cláusula 6.

6.2 Condiciones y responsabilidad. Veliu recurre a cada Subencargado en virtud de un contrato escrito cuyas obligaciones en materia de protección de datos protegen los Datos personales del Cliente al menos en la misma medida que el presente Acuerdo de Encargo, y sigue siendo responsable frente al Cliente del cumplimiento de cada Subencargado.

6.3 Notificación. Veliu notifica al Cliente con al menos treinta (30) días de antelación la incorporación o sustitución de cualquier Subencargado, por correo electrónico o en la cuenta del Cliente, indicando el Subencargado, su finalidad y su ubicación.

6.4 Oposición y resolución. Dentro del plazo de preaviso, el Cliente podrá oponerse por motivos razonables relacionados con la protección de datos mediante correo electrónico a admin@veliu.com, y las Partes examinarán la oposición de buena fe. Si Veliu no puede darle solución antes de que el cambio surta efecto, el Cliente podrá resolver el Pedido afectado con efectos desde la fecha del cambio mediante notificación a admin@veliu.com, abonando únicamente las cuotas hasta esa fecha; en caso de facturación anual, Veliu reembolsa, a petición del Cliente conforme a la cláusula 8.9 del Contrato, las cuotas abonadas por anticipado correspondientes al periodo posterior. Si no se formula oposición dentro del plazo de preaviso, el cambio queda autorizado.

7.1 Alojamiento en la UE. Veliu almacena los Datos personales del Cliente en la Unión Europea y los trata allí, según lo previsto en la cláusula 4.7 del Contrato. La inferencia de modelos se realiza en regiones de la UE cuando el proveedor las ofrezca y, en caso contrario, conforme a la cláusula 7.2.

7.2 Garantías. Veliu solo transfiere Datos personales del Cliente fuera del Espacio Económico Europeo, o permite que un Subencargado lo haga, cuando (a) una decisión de adecuación de la Comisión Europea ampare el destino, incluido el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) para un destinatario certificado, o (b) las Cláusulas contractuales tipo (Módulo 3, de encargado a encargado) vinculen a Veliu y al destinatario, con las medidas complementarias que requiera la transferencia. Cuando sea aplicable el Derecho del Reino Unido o de Suiza, las Cláusulas contractuales tipo se aplican con la Adenda del Reino Unido (UK Addendum) o con las adaptaciones suizas. El Anexo 3 indica las garantías.

8.1 Solicitudes de los interesados. Teniendo en cuenta la naturaleza del tratamiento, Veliu asiste al Cliente, mediante medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes de los interesados para el ejercicio de sus derechos. Veliu remite al Cliente sin dilación indebida cualquier solicitud de este tipo que reciba, y solo responde al interesado siguiendo instrucciones del Cliente o cuando lo exija la ley.

8.2 Evaluaciones de impacto. Veliu facilita al Cliente la información de que disponga y que el Cliente razonablemente necesite para las evaluaciones de impacto relativas a la protección de datos y las consultas previas previstas en los artículos 35 y 36 del RGPD.

8.3 Violaciones de la seguridad de los datos. Veliu notifica al Cliente cualquier Violación de la seguridad de los datos sin dilación indebida y, a más tardar, setenta y dos (72) horas después de haber tenido conocimiento de ella, mediante correo electrónico dirigido al Usuario que administra la cuenta del Cliente. La notificación describe, en la medida en que se conozcan en ese momento, la naturaleza de la violación, los interesados y los registros afectados, sus consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Veliu completa la notificación a medida que se conocen los hechos y adopta medidas razonables para contener la violación y limitar sus efectos.

9.1 Certificaciones e informes. Previa solicitud, Veliu pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente Acuerdo de Encargo y del artículo 28 del RGPD, incluidas las certificaciones y los informes de auditoría de sus Subencargados cuando los proveedores permitan su divulgación, así como respuestas por escrito a cuestionarios de seguridad razonables. El Cliente se basará en primer lugar en esta información.

9.2 Inspecciones. Cuando dicha información no demuestre el cumplimiento, el Cliente podrá auditar a Veliu, directamente o a través de un auditor independiente sujeto a confidencialidad, incluso in situ, una vez en cualquier periodo de doce (12) meses, o con mayor frecuencia si así lo exige una autoridad de control, con un preaviso mínimo de treinta (30) días mediante correo electrónico a admin@veliu.com. Las auditorías se realizan en Horario laborable con la menor perturbación posible de las operaciones de Veliu, y no dan acceso a los datos de otros clientes ni a las instalaciones de los Subencargados. Veliu subsana cualquier incumplimiento que detecte la auditoría.

10.1 Devolución. Durante los treinta (30) días siguientes a la extinción de un Pedido, el Cliente podrá exportar los Datos del Cliente, incluidos los Datos personales del Cliente, en los formatos que ofrecen los Servicios conforme a la cláusula 4.8 del Contrato, o solicitar a Veliu por correo electrónico que se los devuelva en un formato de uso común y lectura mecánica.

10.2 Supresión. En un plazo de sesenta (60) días desde la extinción del Pedido, Veliu suprime los Datos personales del Cliente tratados en virtud de este, incluidos los que conserven los Subencargados, salvo aquellos que el Derecho de la Unión o de los Estados miembros obligue a Veliu a conservar, durante el tiempo que dicho Derecho exija. Los Datos personales del Cliente contenidos en copias de seguridad se suprimen a medida que estas rotan, en un plazo de noventa (90) días desde la extinción del Pedido. Hasta su supresión, el presente Acuerdo de Encargo sigue protegiéndolos.

10.3 Supresión anticipada. El Cliente podrá solicitar una supresión anticipada por correo electrónico a admin@veliu.com, y Veliu confirma la supresión por escrito cuando así se le solicite.

11.1 Solo instrucciones del Cliente. Veliu utiliza los Datos del Cliente únicamente para prestar los Servicios al Cliente y para derivar Telemetría, siguiendo las instrucciones del Cliente conforme a la cláusula 3. Veliu no utiliza los Datos del Cliente, incluidos los Datos personales del Cliente, para entrenar, ajustar, evaluar o mejorar de cualquier otro modo ningún modelo, agente o sistema de inteligencia artificial que se ponga a disposición de cualquier persona distinta del Cliente o se explote por cuenta de ella.

11.2 Lo que Veliu aprende del Cliente se queda con el Cliente. Los modelos, prompts, configuraciones, conocimientos y memoria que Veliu deriva de los Datos del Cliente sirven únicamente al propio Brand Agent y a los propios Servicios del Cliente, y Veliu no los transfiere a ningún otro cliente ni los utiliza para ningún otro cliente.

11.3 Proveedores de modelos. Los proveedores de modelos del Anexo 3 tratan los Datos personales del Cliente en virtud de condiciones contractuales empresariales que no les permiten utilizarlos para entrenar sus modelos.

11.4 Telemetría. Veliu mejora sus modelos, agentes y Servicios únicamente con Telemetría (cláusula 4.4 del Contrato). La Telemetría derivada de Datos personales del Cliente cumple tres condiciones: (a) nadie puede reidentificar a partir de ella a una persona física, al Cliente o a su marca por los medios que razonablemente puedan utilizarse, ya sea por sí sola o combinada con otros datos; (b) se agrega con datos de múltiples marcas; (c) no menciona ninguna marca ni ninguna persona, y no revela ninguno de los datos no publicados del Cliente. Veliu no intenta reidentificar la Telemetría ni permite que nadie más lo haga.

11.5 Información pública. La cláusula 4.6(e) del Contrato regula la información que el Cliente publica en su propio sitio web o en sus feeds, que las herramientas de evaluación de Veliu leen desde el exterior, como lo hace cualquier agente de compras de IA.

11.6 Subsistencia. La presente cláusula 11 subsiste mientras Veliu conserve cualesquiera Datos del Cliente.

12.1 Límites. La responsabilidad de cada Parte en virtud del presente Acuerdo de Encargo está sujeta a la cláusula 12 del Contrato y computa a efectos de los límites allí establecidos. Nada de lo dispuesto en el presente Acuerdo de Encargo limita los derechos de los interesados conforme a la Normativa de protección de datos.

13.1 Vigencia. El presente Acuerdo de Encargo surte efecto con el primer Pedido del Cliente y se aplica mientras Veliu trate Datos personales del Cliente, incluso durante los plazos previstos en la cláusula 10.

13.2 Prelación. La cláusula 18.11 del Contrato establece el orden de prelación, y el presente Acuerdo de Encargo prevalece sobre el Contrato y sobre cualquier Pedido en materia de tratamiento de datos personales. Las Cláusulas contractuales tipo, cuando sean aplicables, prevalecen sobre cualquier otra condición.

13.3 Idioma. La cláusula 18.13 del Contrato se aplica al presente Acuerdo de Encargo.

(a) Responsable del tratamiento. El Cliente, según se identifica en el Pedido.

(b) Encargado del tratamiento. Veliu Limited, admin@veliu.com.

(c) Interesados y datos personales. Cláusulas 2.5 y 2.4.

(d) Categorías especiales. Los Servicios no requieren ninguna; un visitante puede facilitarlas voluntariamente en una conversación, por ejemplo, una necesidad de salud subyacente a una pregunta sobre un producto.

(e) Naturaleza, finalidad, duración y conservación. Cláusulas 2.1 a 2.3 y cláusula 10.

(f) Frecuencia. Continua, durante la vigencia del Contrato.

(g) Subencargados. Anexo 3.

(h) Autoridad de control principal de Veliu. Data Protection Commission, Irlanda.

(a) Alojamiento en la UE. Los Datos del Cliente se almacenan y se tratan en infraestructura ubicada en la Unión Europea, gestionada por proveedores de servicios en la nube que disponen de informes SOC 2 Tipo II y, cuando el proveedor la tenga, de la certificación ISO/IEC 27001: Amazon Web Services, Google Cloud, Vercel y Supabase, en regiones de la UE.

(b) Cifrado. En tránsito con TLS 1.2 o superior; en reposo con AES-256.

(c) Copias de seguridad y resiliencia. Copias de seguridad diarias y redundancia entre zonas de disponibilidad; disponibilidad supervisada desde al menos dos ubicaciones de la Unión Europea.

(d) Control de acceso. Acceso según el principio de mínimo privilegio, con autenticación multifactor y registro de los accesos; las credenciales del software que conecta el Cliente se almacenan cifradas.

(e) Vulnerabilidades e incidentes. Gestión de vulnerabilidades y respuesta a incidentes con notificación al Cliente conforme a la cláusula 8.3.

(f) Inferencia de modelos. En regiones de la UE cuando el proveedor las ofrezca y, en caso contrario, al amparo de las Cláusulas contractuales tipo (cláusulas 7 y 11).

Los Subencargados establecidos fuera del Espacio Económico Europeo, o con acceso desde fuera de él, se amparan en las Cláusulas contractuales tipo o en una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando estén certificados.