Este Acuerdo de Tratamiento de Datos (en adelante "DPA") se celebra entre el cliente que utiliza los servicios de Sens-AI, actuando como Responsable del Tratamiento, y Sens-AI, actuando como Encargado del Tratamiento, de conformidad con el Articulo 28 del Reglamento (UE) 2016/679 (RGPD).
En caso de conflicto entre este DPA y cualquier otra disposicion de las Condiciones de Uso relativa al tratamiento de datos personales, prevalecera este DPA en la medida del conflicto.
1. Objeto y duracion del tratamiento
Este DPA define las condiciones bajo las cuales Sens-AI trata datos personales en nombre del cliente, en el contexto de la prestacion del servicio SaaS de chatbot IA.
El DPA entra en vigor en la fecha de suscripcion del servicio y permanece aplicable durante toda la duracion del contrato, asi como durante el periodo en que Sens-AI conserve datos personales en nombre del cliente.
2. Naturaleza y finalidad del tratamiento
Sens-AI proporciona un servicio SaaS de chatbot IA que permite, entre otras cosas:
- Gestion de conversaciones entre usuarios finales y el chatbot
- Alojamiento, almacenamiento, busqueda y analisis de contenido de conversaciones
- Indexacion y busqueda semantica en la base de conocimientos del cliente
- Administracion de cuentas de usuario y derechos de acceso
- Funciones de soporte, mejora y monitorizacion
3. Tipos de datos personales tratados
Dependiendo de la configuracion del cliente, los datos tratados pueden incluir:
- Datos de identificacion: nombre, correo electronico profesional, ID de usuario
- Datos de conexion: registros, direccion IP, identificadores de sesion, marcas de tiempo
- Contenido de conversaciones: mensajes de texto introducidos en el chatbot
- Datos de base de conocimientos: contenido de archivos subidos (PDF, DOCX, CSV) y paginas web rastreadas
- Datos de uso: estadisticas de uso, configuraciones, preferencias
- Datos de facturacion: ID de cliente, plan de suscripcion, historial de pagos
4. Categorias de interesados
Las personas cuyos datos se tratan pueden incluir:
- Usuarios finales del chatbot: clientes, prospectos y usuarios internos del responsable del tratamiento
- Miembros del equipo del cliente: administradores y operadores que utilizan el panel de control
- Contactos de facturacion: personas responsables del pago y gestion de suscripciones
5. Obligaciones del encargado (Sens-AI)
Sens-AI se compromete a:
- Instrucciones documentadas: tratar datos personales unicamente segun las instrucciones documentadas del cliente
- Confidencialidad: garantizar que las personas autorizadas esten sujetas a una obligacion de confidencialidad
- Seguridad: implementar medidas tecnicas y organizativas apropiadas (Articulo 32 RGPD)
- Notificacion de brechas: notificar al cliente sin demora indebida de cualquier brecha de datos personales
- Asistencia en derechos: asistir al cliente para permitir el ejercicio de los derechos de los interesados
6. Obligaciones del responsable (Cliente)
El cliente se compromete a:
- Asegurar que el tratamiento confiado a Sens-AI cumple con las leyes de proteccion de datos aplicables
- Proporcionar a Sens-AI instrucciones documentadas, licitas y proporcionadas
- Informar a Sens-AI de cualquier cambio que afecte a estas instrucciones
7. Subencargados
El cliente autoriza a Sens-AI a recurrir a los siguientes subencargados para prestar el servicio.
| Subencargado | Servicio | Datos tratados | Ubicacion |
|---|---|---|---|
| Turso | Base de datos relacional | Cuentas, conversaciones, mensajes, FAQ, facturacion | UE (Irlanda) |
| Upstash Redis | Cache, limitacion de tasa, sesiones | Respuestas en cache, contadores IP, sesiones | UE (Frankfurt) |
| Upstash Vector | Base de datos vectorial, busqueda semantica | Embeddings de base de conocimientos, cache semantico | UE (Frankfurt) |
| Mistral AI | Modelo de lenguaje IA (LLM) | Prompts, contextos de conversacion | UE (Francia) |
| Cloudflare R2 | Almacenamiento de objetos | PDF, DOCX, CSV subidos por el cliente | UE |
| Creem | Plataforma de pago | Datos de pago, facturacion, suscripciones | UE (PCI-DSS) |
| Loops.so | Email transaccional y de marketing | Emails, nombres, preferencias de comunicacion | Estados Unidos (CCT) |
8. Medidas de seguridad
De conformidad con el Articulo 32 del RGPD, Sens-AI implementa las siguientes medidas:
- Cifrado en transito: todas las comunicaciones estan cifradas via TLS/HTTPS
- Cifrado en reposo: los datos almacenados estan cifrados en reposo
- Control de acceso: autenticacion con contrasenas hash (bcrypt), gestion de acceso por inquilino
- Aislamiento de datos: separacion logica por inquilino
- Limitacion de tasa: proteccion contra abusos y ataques de denegacion de servicio
- Registro: registros de acceso y operaciones para trazabilidad
9. Transferencias fuera del EEE
La infraestructura principal de Sens-AI esta alojada en la Union Europea. Cuando las transferencias fuera del EEE sean necesarias, se rigen por Clausulas Contractuales Tipo (CCT) adoptadas por la Comision Europea.
10. Notificacion de brechas
En caso de brecha de datos personales, Sens-AI se compromete a:
- Notificar al cliente sin demora indebida tras tener conocimiento de la brecha
- Proporcionar informacion disponible util para evaluar la brecha
- Asistir al cliente en la notificacion a la autoridad de control (CNIL) y, en su caso, a los interesados afectados
11. Auditoria y revision
El cliente tiene derecho a verificar el cumplimiento de Sens-AI con este DPA y el RGPD:
- A traves de solicitudes de informacion y documentacion de seguridad
- A traves de auditorias presenciales o remotas, previo aviso razonable
- A traves de un auditor independiente designado por el cliente
12. Tratamiento de datos tras la terminacion
Tras la terminacion del contrato, el cliente elige entre:
- Devolucion: exportacion de datos personales seguida de eliminacion por Sens-AI
- Eliminacion: eliminacion permanente de datos personales
El cliente dispone de 30 dias tras la terminacion del contrato para solicitar la exportacion de datos.
13. Contacto DPO
Para cualquier pregunta sobre este DPA o el tratamiento de tus datos personales, puedes contactar a nuestro Delegado de Proteccion de Datos:
Este DPA se rige por el derecho frances. Cualquier litigio relativo a su interpretacion o ejecucion se sometera a la jurisdiccion exclusiva de los tribunales de Paris.