Acuerdo de tratamiento de datos

El cliente es la organización titular del espacio de trabajo y el responsable del tratamiento de los datos personales que introduce en nerix.ai (y encargado del tratamiento de estos cuando actúa por cuenta de sus propios clientes). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Estados Unidos, es el encargado del tratamiento.

El presente acuerdo abarca los datos personales del espacio de trabajo del cliente: documentos, conversaciones, hojas de cálculo, registros de trabajo, reuniones y grabaciones, embeddings de la biblioteca, nombres y direcciones de correo electrónico de los miembros y el registro de auditoría. No abarca los datos personales para los que nerix decide por sí mismo las finalidades, como la cuenta de inicio de sesión de una persona o los registros de facturación. Estos se describen en la política de privacidad.

Si el presente acuerdo y los Términos difieren en materia de datos personales, prevalecerá el presente acuerdo.

nerix trata los datos personales únicamente siguiendo las instrucciones documentadas del cliente. Los Términos, el presente acuerdo, la configuración que el cliente elige en el producto (por ejemplo, la región de IA, los proveedores, los periodos de conservación y la ocultación de nombres a la IA) y lo que sus miembros piden al producto que haga constituyen las instrucciones. Esto incluye las transferencias a un tercer país: solo se realizan conforme a lo que permitan estas instrucciones y la lista de subencargados.

nerix informará inmediatamente al cliente si considera que una instrucción infringe la normativa de protección de datos. Si la ley exige que nerix trate los datos de otro modo, se lo comunicará primero al cliente, salvo que la ley lo prohíba.

Todas las personas de nerix que puedan acceder a los datos personales del cliente están sujetas a un deber de confidencialidad por escrito, acceden a ellos solo cuando el trabajo lo requiere, y cada acceso del personal a una conversación de un cliente queda registrado en el registro de auditoría del propio cliente.

nerix adopta las medidas del artículo 32 del GDPR. El anexo 2 enumera las que existen actualmente. nerix podrá modificarlas si el nivel de protección no disminuye.

El cliente otorga una autorización general por escrito para los subencargados del anexo 1. nerix vincula contractualmente a cada uno de ellos a las mismas obligaciones de protección de datos y sigue siendo plenamente responsable ante el cliente por ellos.

nerix informa al propietario de cada espacio de trabajo al menos 30 días antes de añadir o sustituir un subencargado, en el producto y por correo electrónico, y actualiza la lista pública en nerix.ai/legal/subprocessors. El cliente podrá oponerse por motivos razonables de protección de datos dentro de esos 30 días. nerix intentará entonces ofrecer el servicio sin ese subencargado, por ejemplo manteniendo el espacio de trabajo en proveedores solo de la EU. Si no fuera posible, el cliente podrá poner fin al contrato y recibirá un reembolso de las tarifas prepagadas correspondientes al tiempo no utilizado.

El cliente elige la región de IA y los proveedores de su propio espacio de trabajo. Un proveedor que el cliente active por sí mismo en Configuración es una elección del propio cliente y no un cambio realizado por nerix.

Los datos del cliente se almacenan en la Unión Europea (Francia, con archivos cifrados y copias de seguridad en los Países Bajos). nerix está establecida en Estados Unidos. Cuando se transfieran datos personales a un país sin decisión de adecuación o se acceda a ellos desde dicho país, las partes acuerdan las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (EU) 2021/914) como se indica a continuación. El Módulo Dos (responsable a encargado) se aplica cuando el cliente es responsable del tratamiento, y el Módulo Tres (encargado a encargado) cuando el cliente es a su vez encargado del tratamiento. Forman parte del presente acuerdo por referencia.

• Cláusula 7 (cláusula de adhesión): incluida.
• Cláusula 9, letra a): opción 2, autorización general, con el preaviso de 30 días previsto en la sección 6.
• Cláusula 11, letra a): no se aplica el órgano independiente de resolución de conflictos opcional.
• Cláusula 17: la legislación de la República de Irlanda. Cláusula 18, letra b): los tribunales de Irlanda.
• Las partes del anexo I.A se recogen en la sección 1; el anexo I.B es la sección 2; la autoridad de control competente es la del establecimiento del cliente (o, si no lo hubiera, la Comisión de Protección de Datos de Irlanda). El anexo II es el anexo 2 que figura a continuación. El anexo III es el anexo 1 que figura a continuación.

Para los datos personales sujetos al GDPR del Reino Unido, las partes acuerdan también el Addendum de Transferencia Internacional de Datos a las CCT de la EU emitido por el Comisionado de Información del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022). Sus tablas se completan a partir de esta sección y de los anexos, y cualquiera de las partes podrá resolverlo conforme a lo dispuesto en su sección 19.

Para los datos personales sujetos a la Ley suiza de protección de datos, las CCT se aplican con estos cambios: el Comisionado Federal de Protección de Datos e Información de Suiza es la autoridad competente; las referencias al GDPR incluyen la ley suiza; el lugar de jurisdicción para las reclamaciones de personas en Suiza es Suiza; y «Estado miembro» no impide que una persona en Suiza demande en su residencia habitual.

Si nerix está certificada en el Marco de Privacidad de Datos entre la EU y Estados Unidos para la transferencia, dicha certificación constituye la garantía principal y las CCT se aplicarán como mecanismo subsidiario si el marco deja de ser válido. Una solicitud de acceso de una autoridad gubernamental se tramita conforme a lo dispuesto en las CCT: nerix impugna las solicitudes que sean ilícitas, comparte la menor cantidad posible de información y se lo comunica al cliente, salvo que la ley lo prohíba.

Si una persona pregunta a nerix por datos que esta conserva por cuenta del cliente, nerix no responderá sobre el fondo y trasladará la solicitud al cliente sin dilación indebida (en un plazo de cinco días laborables). nerix proporciona al cliente herramientas de ayuda: exportación de un espacio de trabajo y de los datos de la propia cuenta de una persona, eliminación, rectificación y registro de auditoría. Más allá de estas, nerix ayuda con un esfuerzo razonable y sin cargo cuando se trate de una tarea menor.

nerix informa al propietario de cada espacio de trabajo afectado sin dilación indebida y, a más tardar, 24 horas después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del cliente, en el producto y por correo electrónico. La notificación indica lo que se sabe: qué ocurrió, qué datos y aproximadamente cuántas personas se vieron afectadas, los efectos probables, lo que nerix ha hecho y lo que aconseja al cliente que haga. Los demás hechos se comunican a medida que se conocen. nerix mantiene un registro de violaciones y facilita al cliente lo necesario para su propia notificación a la autoridad (artículo 33) y a las personas interesadas (artículo 34).

nerix ayuda al cliente en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta lo que puede ver. nerix facilita, previa solicitud, un resumen de su evaluación de impacto relativa a la protección de datos de las funciones de IA.

El cliente puede exportar todo el espacio de trabajo en cualquier momento y de forma gratuita desde Configuración (documentos en sus archivos originales, conversaciones, hojas de cálculo, registros y registro de auditoría), y puede suprimir datos y el propio espacio de trabajo. Cuando finaliza el contrato, nerix conserva el espacio de trabajo durante un periodo de recuperación de al menos 30 días para que el cliente pueda exportarlo y, después, suprime los datos personales, incluidas las copias de seguridad, en los 30 días siguientes, salvo que la ley exija a nerix conservarlos. nerix confirma la supresión previa solicitud.

nerix facilita al cliente la información necesaria para demostrar el cumplimiento del artículo 28 y permite que el cliente o un auditor designado por él realicen una inspección, con un preaviso de 30 días, en horario laboral, bajo obligación de confidencialidad, no más de una vez al año salvo que una violación o una autoridad exijan más, y a costa del cliente. nerix podrá cumplir esta obligación primero con informes independientes vigentes y sus respuestas al cuestionario de seguridad del cliente.

La responsabilidad derivada del presente acuerdo se rige por los Términos, salvo que nada limita la responsabilidad que la ley no permita limitar y que las cláusulas contractuales tipo, cuando resulten aplicables, prevalecen sobre todo lo demás. El presente acuerdo se rige por la legislación de la República de Irlanda en lo relativo a las cláusulas contractuales tipo y, en lo demás, por los Términos.

El cliente acepta el presente acuerdo en el producto: el propietario del espacio de trabajo lo confirma y nerix registra la fecha, la versión y quién lo aceptó. Al propietario se le muestra una nueva versión con los cambios realizados, y se aplica una vez aceptada; la versión aceptada permanece visible en Configuración. Los clientes Enterprise pueden solicitar una copia con líneas de firma. Consultas: info@nerix.ai.

La lista pública en nerix.ai/legal/subprocessors es la vigente. En la fecha de esta versión:

Estas medidas están implantadas hoy en el producto.

• Separación de clientes: cada registro lleva su espacio de trabajo y toda consulta del código debe indicar el espacio de trabajo o falla; los archivos se almacenan por espacio de trabajo.
• Cifrado: las conexiones utilizan TLS. Las claves de los proveedores y las credenciales almacenadas de los clientes se cifran con cifrado de sobre, la clave maestra se guarda fuera de la base de datos en un archivo que solo el servicio puede leer.
• Acceso: inicio de sesión con contraseña o claves de acceso, o mediante Google o GitHub; inicio de sesión en dos pasos; roles de propietario, administrador, miembro y lector; las sesiones se pueden listar y cerrar; las claves de API se pueden revocar de inmediato.
• Acceso del personal: identidad de personal separada, con su propio inicio de sesión y segundo paso; el personal solo ve una conversación de un cliente con un motivo registrado, y cada acceso se anota en el registro de auditoría del cliente; la suplantación se muestra al cliente en el registro de auditoría.
• Registro de auditoría: registro de solo adición de quién hizo qué en el espacio de trabajo, con exportaciones; se conserva durante el periodo de retención que establezca el propietario.
• Seguridad de la IA: los nombres de personas y clientes y los datos personales, como direcciones de correo electrónico y números de teléfono y de cuenta, pueden sustituirse por códigos antes de que el texto llegue a un modelo y restituirse en la respuesta; los propietarios pueden bloquear esta configuración; nunca se permite que un proveedor de modelos entrene con datos del cliente; la región de IA puede limitarse a la UE o a modelos en nuestros propios servidores.
• Retención y supresión: el propietario puede establecer cuánto tiempo se conservan los documentos y las conversaciones, que después suprime el servicio; la supresión elimina los archivos del disco, no solo las filas; la supresión de un espacio de trabajo se ejecuta tras un periodo de gracia de 30 días.
• Copias de seguridad: se conservan en la UE; los datos suprimidos salen de las copias de seguridad en un plazo de 30 días.
• Resiliencia: procesos separados para la web, el trabajo en segundo plano y el centro de IA, comprobaciones de estado y reinicios sin perder tareas; los cambios se prueban antes de publicarse.
• Proceso de violaciones: un manual operativo escrito, un registro, notificación a los propietarios afectados en un plazo de 24 horas y un aviso de seguridad en el producto.
• Personas: deber de confidencialidad y acceso solo cuando el trabajo lo requiera.