Acuerdo de Tratamiento de Datos (DPA)

Contrato de encargo del tratamiento conforme al artículo 28.3 del RGPD (Reglamento (UE) 2016/679) y la LOPDGDD. Se incorpora a los Términos y Condiciones del Servicio y es de aceptación obligatoria para contratar la plataforma.

• Responsable del tratamiento: el Cliente que contrata Business Copilot.
• Encargado del tratamiento: SOLIDPULSE LABS, SL (CIF B27565878), Av. Emilio Lemos 32, Bl.1, P5, Pta B, 41020 Sevilla (España) («Business Copilot»).
• Delegado de Protección de Datos (DPO): tras la oportuna valoración, Business Copilot considera que, a su escala y volumen de tratamiento actuales, no concurre la obligación de designar un DPO conforme al art. 37 RGPD. Punto de contacto en materia de protección de datos: privacy@idptrust.com. Business Copilot reevaluará esta valoración a medida que crezca el volumen de tratamiento.

Business Copilot trata datos personales por cuenta del Cliente en la medida necesaria para prestar el Servicio. Respecto de los datos de los Usuarios Finales del Cliente (contactos, participantes de reuniones grabadas o transcritas, etc., que el Cliente trata en el Servicio), el Cliente es Responsable e Business Copilot Encargado. Los datos de la cuenta de portal del propio Cliente y sus Usuarios Autorizados se tratan por Business Copilot como Responsable y se rigen por la Política de Privacidad de la plataforma, no por este DPA.

El objeto es el tratamiento de datos personales de Usuarios Finales descrito en el Anexo I. La duración coincide con la vigencia del contrato de Servicio; a su término se aplica la cláusula 9.

Business Copilot tratará los datos únicamente siguiendo instrucciones documentadas del Cliente (incluidas las que resulten de la configuración del Servicio, como la activación de la IA y la configuración de la clave de OpenAI, y de estos documentos contractuales), también en cuanto a transferencias internacionales, salvo obligación legal (en cuyo caso lo informará, salvo prohibición legal). Si Business Copilot considera que una instrucción infringe la normativa de protección de datos, lo comunicará al Cliente.

Business Copilot garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a un deber legal de confidencialidad, y limita el acceso a quienes lo necesitan para prestar el Servicio.

Business Copilot aplicará las medidas técnicas y organizativas apropiadas descritas en el Anexo II, atendiendo al estado de la técnica, los costes, y la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos para los derechos y libertades de los interesados.

El Cliente otorga a Business Copilot autorización general para recurrir a subencargados para la prestación del Servicio. La relación de subencargados vigentes figura en el Anexo III.

Business Copilot impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA, y seguirá siendo plenamente responsable frente al Cliente del cumplimiento de aquellos.

Business Copilot informará al Cliente de la incorporación o sustitución de subencargados con antelación razonable, dándole la posibilidad de oponerse por motivos razonables relativos a protección de datos. Si la objeción no puede resolverse, el Cliente podrá resolver la parte del Servicio afectada.

Business Copilot asistirá al Cliente, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento:

• mediante medidas técnicas y organizativas apropiadas, para que el Cliente atienda las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad). El Servicio ofrece funcionalidades de consulta, exportación y supresión que el Cliente puede usar de forma autónoma;
• para garantizar el cumplimiento de las obligaciones de los arts. 32 a 36 (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), atendida la información de que dispone.

Business Copilot notificará al Cliente, sin dilación indebida desde que tenga conocimiento de una violación de la seguridad que afecte a datos personales tratados por cuenta del Cliente, proporcionando la información razonablemente disponible para que el Cliente cumpla, en su caso, sus obligaciones de notificación (arts. 33 y 34 RGPD). Business Copilot cursará la notificación al contacto designado por el Cliente, por los medios indicados en el portal y/o por correo electrónico.

A la terminación del Servicio, y a elección del Cliente, Business Copilot suprimirá o devolverá los datos personales tratados por su cuenta, y suprimirá las copias existentes, salvo que la conservación sea exigida por el Derecho de la UE o de un Estado miembro. El Cliente dispondrá de un periodo de exportación de 30 días desde la terminación; los plazos concretos de borrado/retención figuran en el Anexo I.

Business Copilot pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor mandatado por él. Las partes acordarán el alcance y procedimiento (preaviso razonable, horario laboral, deber de confidencialidad, no afectación a otros clientes); Business Copilot podrá satisfacer este derecho mediante informes o certificaciones de terceros cuando estén disponibles. También podrá compartir, bajo confidencialidad, resúmenes de sus revisiones de seguridad.

Los datos se alojan en la Unión Europea. Cuando un subencargado pueda tratar datos fuera del EEE, la transferencia se amparará en una decisión de adecuación (p. ej. EU-US Data Privacy Framework) o en Cláusulas Contractuales Tipo y medidas complementarias, según el Anexo III.

La responsabilidad de las partes en relación con el tratamiento se rige por el RGPD y por el límite de responsabilidad pactado en los Términos y Condiciones del Servicio.

En caso de conflicto entre este DPA y otros documentos contractuales en materia de protección de datos, prevalecerá este DPA.

Naturaleza y finalidad: prestación de Business Copilot — CRM, asistente de reuniones en vivo con extensión de navegador (transcripción e informes), proyectos y tableros, entrenamiento con IA, propuestas y conectores con herramientas del Cliente (Gmail, Google Calendar, Google Drive, HubSpot, Jira y GitHub), por cuenta del Cliente.

Categorías de interesados: Usuarios Finales del Cliente (personas cuyos datos trata el Cliente en el Servicio, p. ej. contactos y clientes del Cliente, participantes de reuniones grabadas o transcritas, y personas que figuran en los correos, eventos y ficheros que el Cliente sincroniza mediante los conectores).

Categorías de datos personales:

• Datos identificativos y de contacto (nombre, correo, teléfono, empresa, cargo), según los introduzca o sincronice el Cliente.
• Contenido de reuniones: audio transmitido para su transcripción, transcripciones, nombres de participantes, resúmenes e informes.
• Contenido de proyectos, tableros, propuestas y notas, y datos sincronizados desde los conectores (correos, eventos de calendario, ficheros, registros de HubSpot, incidencias de Jira, repositorios de GitHub) en la medida en que el Cliente los conecte.
• Sesiones de entrenamiento con IA y sus evaluaciones.
• Datos técnicos de conexión y registros de actividad.

Categorías especiales (art. 9): no se tratan de forma intencionada. El Cliente se abstiene de introducir datos sensibles fuera de las finalidades del Servicio.

Duración / conservación: los datos se tratan durante la vigencia del contrato. Tras la terminación: periodo de exportación de 30 días y posterior supresión. Plazos orientativos: datos operativos del Cliente (contactos, reuniones, transcripciones, informes, proyectos y demás contenidos) suprimidos tras el periodo de gracia; registros de actividad conservados un tiempo limitado; la documentación de facturación, cuando Business Copilot actúe como Responsable, hasta 6 años (Código de Comercio, art. 30) / 4 años (obligaciones tributarias).

• Cifrado de los datos en tránsito y de los datos sensibles en reposo.
• Control de acceso basado en roles, principio de mínimo privilegio y autenticación reforzada para los accesos privilegiados.
• Aislamiento lógico de los datos de cada cliente.
• Copias de seguridad y procedimientos de recuperación.
• Registro y auditoría de la actividad relevante para la seguridad.
• Gestión de vulnerabilidades y pruebas de seguridad antes de cada puesta en producción.
• Acceso del personal restringido a lo necesario y compromisos de confidencialidad.
• El detalle técnico de estas medidas se facilita al Cliente, bajo confidencialidad, cuando lo solicite para una auditoría o evaluación de riesgos.

Subencargados que pueden tratar datos personales de Usuarios Finales por cuenta del Cliente. Los proveedores que tratan datos de la cuenta del Cliente (pagos y correo electrónico) actúan en la relación en que Business Copilot es Responsable y se detallan en la Política de Privacidad de la plataforma, no aquí.

• Google Cloud EMEA Limited (Irlanda) — Infraestructura en la nube del Servicio. Ubicación: Unión Europea. Garantía, para cualquier acceso desde fuera del EEE: EU-US Data Privacy Framework y Cláusulas Contractuales Tipo.
• Cloudflare, Inc. (EE. UU.) — Entrega y protección del tráfico web del Servicio. Ubicación: red global, con posible tratamiento fuera del EEE. Garantía: EU-US Data Privacy Framework y Cláusulas Contractuales Tipo.

Inteligencia artificial (clave propia del Cliente): las funcionalidades de IA usan la clave de OpenAI que el propio Cliente configura en su workspace. OpenAI no es subencargado de Business Copilot: es un proveedor que contrata directamente el Cliente, con su propia cuenta y condiciones, y la activación de la IA y la configuración de la clave constituyen instrucciones del Cliente. Sin clave configurada, el Servicio no envía datos a OpenAI. Lo mismo aplica a los conectores (Gmail, Google Calendar, Google Drive, HubSpot, Jira y GitHub), que se conectan con cuentas del Cliente y por su iniciativa.

Este anexo se mantiene como la versión vigente publicada; los cambios se comunican conforme a la cláusula 6.