Anexo de Tratamiento de Datos

This Spanish version is provided for convenience. In case of conflict, the English version controls.

Este Anexo de Tratamiento de Datos ("DPA") forma parte de los Términos del Servicio u otro acuerdo escrito, incluido cualquier Order Form (en conjunto, el "Acuerdo"), entre FINKKO, Inc., sociedad de Delaware ("Finkko"), y el cliente identificado en el Acuerdo ("Cliente"). Aplica siempre que Finkko trate Datos Personales del Cliente al prestar el servicio Finkko (el "Servicio").

1. Definiciones

En corto: Los términos en mayúscula tienen el significado indicado aquí o en el Acuerdo.

• Leyes de Protección de Datos son todas las leyes aplicables al tratamiento de Datos Personales del Cliente bajo el Acuerdo, incluidos, cuando apliquen, el Reglamento General de Protección de Datos de la UE 2016/679 ("RGPD"), el RGPD del Reino Unido y la Data Protection Act 2018, la California Consumer Privacy Act modificada por la California Privacy Rights Act ("CCPA") y otras leyes estatales de privacidad de EE. UU.
• Datos del Cliente son los datos que el Cliente o sus usuarios envían al Servicio, o que el Servicio recoge por cuenta del Cliente a través de los canales que este habilita.
• Datos Personales del Cliente son los Datos del Cliente que constituyen datos o información personal según las Leyes de Protección de Datos.
• Incidente de Seguridad es una violación de seguridad confirmada que ocasione la destrucción, pérdida o alteración accidental o ilícita, o la comunicación o acceso no autorizados, de Datos Personales del Cliente.
• Subencargado es cualquier tercero contratado por Finkko para tratar Datos Personales del Cliente.
• "Responsable", "encargado", "interesado", "tratamiento", "business", "service provider", "vender" y "compartir" tienen el significado de las Leyes de Protección de Datos.

2. Roles de las partes

En corto: El Cliente decide para qué y cómo se usan sus datos. Finkko los trata solo para prestar el Servicio.

1. El Cliente es responsable (o, bajo la CCPA, "business") de los Datos Personales del Cliente y Finkko es su encargado (o "service provider"). Cuando el Cliente actúe como encargado de un tercero, Finkko actúa como subencargado del Cliente.
2. El Cliente es responsable de contar con una base legal para el tratamiento, de dar los avisos y obtener los consentimientos que exijan las Leyes de Protección de Datos (incluidos los de llamadas, mensajes y cualquier grabación de llamadas que active) y de la exactitud de los datos e instrucciones que entrega.
3. Finkko trata la información de cuenta y facturación de los administradores del Cliente como responsable independiente, según nuestra Política de Privacidad.

3. Instrucciones de tratamiento

En corto: Seguimos tus instrucciones documentadas y te avisamos si creemos que alguna es ilícita.

1. Finkko trata Datos Personales del Cliente solo según las instrucciones documentadas del Cliente. El Acuerdo, este DPA y la configuración y uso del Servicio por el Cliente constituyen sus instrucciones completas al momento de la firma. Las instrucciones adicionales requieren acuerdo por escrito.
2. Finkko informará al Cliente si, a su juicio, una instrucción infringe las Leyes de Protección de Datos, salvo que la ley lo prohíba.
3. Si la ley obliga a Finkko a tratar Datos Personales del Cliente fuera de sus instrucciones, lo informará al Cliente antes del tratamiento, salvo que la ley lo prohíba.

4. Confidencialidad del personal

Finkko garantiza que las personas autorizadas para tratar Datos Personales del Cliente están sujetas a obligaciones de confidencialidad adecuadas y solo tienen acceso en la medida necesaria para prestar, soportar y proteger el Servicio.

5. Seguridad

En corto: Aplicamos las medidas del Anexo 2 y las mantenemos adecuadas al riesgo.

Finkko implementa y mantiene las medidas técnicas y organizativas descritas en el Anexo 2, teniendo en cuenta la naturaleza del tratamiento y los riesgos para los interesados. Finkko puede actualizarlas siempre que la actualización no reduzca de forma material la protección global de los Datos Personales del Cliente.

6. Subencargados

En corto: Publicamos nuestros subencargados, avisamos con 30 días de antelación de los nuevos y puedes oponerte.

1. El Cliente otorga a Finkko autorización general para contratar Subencargados. La lista vigente está publicada en /legal/subprocessors.
2. Finkko avisará con al menos 30 días de antelación antes de que un nuevo Subencargado empiece a tratar Datos Personales del Cliente, actualizando esa página y notificando al Cliente por correo.
3. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo escribiendo a founder@finkko.com. Las partes discutirán la objeción de buena fe. Si no existe una alternativa razonable, el Cliente podrá terminar la parte afectada del Servicio y Finkko reembolsará las tarifas prepagadas por el periodo posterior a la terminación.
4. Finkko impone a cada Subencargado obligaciones de protección de datos no menos protectoras que las de este DPA y sigue siendo responsable de su cumplimiento.

7. Asistencia

En corto: Te ayudamos a responder solicitudes de los interesados y a cumplir tus obligaciones.

1. Teniendo en cuenta la naturaleza del tratamiento, Finkko asistirá al Cliente con medidas apropiadas para responder solicitudes de ejercicio de derechos de los interesados. Si Finkko recibe una solicitud directamente, remitirá al interesado al Cliente y no responderá salvo instrucción del Cliente u obligación legal.
2. Finkko prestará asistencia razonable en evaluaciones de impacto y consultas previas con autoridades de control, en lo relacionado con el Servicio y la información de que disponga.

8. Incidentes de Seguridad

Finkko notificará al Cliente un Incidente de Seguridad sin demora indebida y, cuando lo exijan las Leyes de Protección de Datos, dentro de las 72 horas siguientes a su confirmación. La notificación describirá, en la medida conocida, la naturaleza del incidente, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Finkko tomará medidas razonables para contener y remediar el incidente. La notificación no implica reconocimiento de culpa.

9. Devolución y eliminación

Durante los 30 días siguientes a la terminación del Acuerdo, el Cliente puede exportar los Datos del Cliente o pedir a Finkko que le entregue lo construido con su información. Pasado ese plazo, Finkko eliminará los Datos Personales del Cliente dentro de los 90 días siguientes, salvo que la ley exija conservarlos, en cuyo caso los mantendrá confidenciales y los tratará solo con ese fin.

10. Auditorías

En corto: Primero entregamos documentación. Si no basta, puedes auditar una vez al año con aviso previo.

1. Previa solicitud escrita, Finkko pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, empezando por documentación escrita y respuestas a cuestionarios de seguridad razonables.
2. Si esa información no basta para demostrar el cumplimiento, o si una autoridad de control lo exige, el Cliente puede realizar una auditoría, no más de una vez al año, con al menos 30 días de aviso escrito, en horario laboral, bajo confidencialidad, a costa del Cliente y sin interrumpir el Servicio ni comprometer los datos de otros clientes.

11. Términos de proveedor de servicios bajo la CCPA

Cuando Finkko trate información personal sujeta a la CCPA, Finkko no:

• Venderá ni compartirá Datos Personales del Cliente;
• Los conservará, usará ni divulgará para fines distintos de los fines comerciales especificados en el Acuerdo, incluido cualquier fin comercial distinto de prestar el Servicio;
• Los conservará, usará ni divulgará fuera de la relación comercial directa entre el Cliente y Finkko; ni
• Los combinará con información personal que reciba de otras fuentes o recoja de sus propias interacciones con consumidores, salvo lo permitido por la CCPA.

Finkko cumplirá las obligaciones aplicables de la CCPA, ofrecerá el mismo nivel de protección de la privacidad que exige la CCPA y avisará al Cliente si ya no puede cumplir estas obligaciones. El Cliente puede adoptar medidas razonables para detener y remediar un uso no autorizado. Finkko certifica que entiende estas restricciones.

12. Transferencias internacionales

En corto: Cuando aplica el RGPD, las Cláusulas Contractuales Tipo de la UE y el Addendum del Reino Unido cubren las transferencias.

1. Finkko y sus Subencargados pueden tratar Datos Personales del Cliente en Estados Unidos y en otros países donde operan, según la lista en /legal/subprocessors.
2. Cuando el RGPD aplique a una transferencia a un país sin decisión de adecuación, se incorporan por referencia las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, con el Cliente como exportador y Finkko como importador, usando el Módulo 2 (responsable a encargado) o el Módulo 3 (encargado a encargado), según corresponda. Aplica la Cláusula 7 (incorporación); aplica la Cláusula 9 opción 2 (autorización general) con el plazo de aviso de la Sección 6; no aplica el texto opcional de la Cláusula 11; las Cláusulas 17 y 18 se rigen por la ley y los tribunales de Irlanda; y los Anexos I y II se completan con los Anexos 1 y 2 de este DPA.
3. Cuando aplique el RGPD del Reino Unido, se incorpora por referencia el International Data Transfer Addendum a las Cláusulas Contractuales Tipo de la UE emitido por el Information Commissioner del Reino Unido, completado con la información de este DPA.
4. En caso de conflicto entre este DPA y las Cláusulas Contractuales Tipo, prevalecen las Cláusulas Contractuales Tipo.

13. Modelos de IA y Datos del Cliente

Finkko no usa Datos del Cliente para entrenar modelos de inteligencia artificial de propósito general ni de terceros. Finkko usa proveedores de modelos de IA bajo condiciones de API empresarial que les impiden entrenar sus modelos con esos datos. Finkko solo puede usar datos agregados o anonimizados para operar, proteger y mejorar el Servicio. Consulta nuestro Aviso de Transparencia sobre IA.

14. Prelación, responsabilidad y vigencia

1. En caso de conflicto, rige el siguiente orden: las Cláusulas Contractuales Tipo (cuando apliquen), este DPA y luego el resto del Acuerdo.
2. La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones de responsabilidad del Acuerdo, en la medida en que lo permitan las Leyes de Protección de Datos.
3. Este DPA permanece vigente mientras Finkko trate Datos Personales del Cliente y termina automáticamente cuando esos datos se eliminan o devuelven conforme a la Sección 9.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas de seguridad

• Aislamiento de datos por cliente: la base de conocimiento y los datos de cada cliente se mantienen separados, incluidos controles de acceso por cliente en la base de datos.
• Cifrado en tránsito: los datos se transmiten por conexiones cifradas.
• Acceso restringido a los logs: los registros del sistema solo son accesibles para personal autorizado.
• Acceso según necesidad: el personal accede a Datos Personales del Cliente solo en la medida necesaria para prestar, soportar y proteger el Servicio.
• Revisión humana de resultados críticos: las acciones que comprometen al Cliente y las respuestas críticas pasan por puntos de aprobación humana.
• Escalamiento de datos sensibles: las conversaciones con datos sensibles se escalan a una persona en lugar de gestionarse automáticamente.
• Gobierno de IA: un enfoque interno de gestión de riesgos de IA inspirado en el NIST AI Risk Management Framework.
• Subencargados evaluados: subencargados obligados por términos escritos de protección de datos.

Contacto

FINKKO, Inc., Carrera 9 # 53-58, Oficina 401, Bogotá D.C. 110231, Colombia. Correo: founder@finkko.com.