Tratamiento de datos

1. Alcance e incorporación

Estos Términos forman parte del acuerdo cuando Zayloft trata Datos Personales por cuenta del Cliente. Si existe un acuerdo de tratamiento firmado que los sustituye expresamente, ese documento prevalece.

Si las partes han firmado un acuerdo de tratamiento de datos separado que sustituye expresamente estos Términos para el mismo tratamiento, prevalece el acuerdo firmado. Los términos en mayúscula no definidos aquí tendrán el significado previsto en los Términos de Servicio o Formulario de pedido aplicables.

2. Roles de las partes

El Cliente actúa como responsable, empresa o función equivalente respecto de los Datos Personales del Cliente, salvo cuando actúe como encargado de otro responsable. Zayloft actúa como encargado, proveedor de servicios, contratista o función equivalente cuando trata datos siguiendo instrucciones documentadas del Cliente.

Cada parte sigue siendo responsable de forma independiente de los Datos Personales que trate para sus propios fines como responsable o empresa, incluida la administración de cuentas, facturación, seguridad, cumplimiento legal y sus propias operaciones empresariales cuando corresponda.

3. Instrucciones del Cliente

Zayloft tratará los Datos Personales del Cliente únicamente conforme a instrucciones documentadas contenidas en el Acuerdo, configuración del producto, solicitudes API, soporte u otras instrucciones escritas lícitas. Si una ley obliga a un tratamiento distinto, Zayloft informará al Cliente cuando legalmente pueda hacerlo y podrá suspender una instrucción que razonablemente parezca infringir la ley.

Si la ley aplicable obliga a Zayloft a tratar Datos Personales del Cliente fuera de las instrucciones del Cliente, Zayloft informará al Cliente antes del tratamiento, salvo que la ley prohíba dicho aviso.

Zayloft notificará al Cliente si, a juicio razonable de Zayloft, una instrucción infringe la legislación aplicable sobre protección de datos. Zayloft podrá suspender el tratamiento afectado mientras las partes resuelven la instrucción.

4. Detalles del tratamiento

El objeto, duración, naturaleza, finalidad, categorías de datos y titulares se describen en el Anexo 1 y pueden precisarse en un Order Form o configuración del servicio. El Cliente determina qué datos envía y debe asegurarse de que sus instrucciones sean lícitas y suficientemente específicas.

El Cliente determina qué Datos Personales del Cliente se envían a los Servicios y es responsable de asegurar que sus instrucciones sean lícitas, suficientemente específicas y adecuadas para los datos correspondientes.

5. Confidencialidad y personal

Zayloft limitará el acceso a personal autorizado sujeto a obligaciones apropiadas de confidencialidad. El acceso se gestionará según funciones, proyectos, entornos y necesidades operativas.

El acceso se gestionará mediante controles de funciones, proyectos, entornos y operaciones adecuados al Servicio y a la sensibilidad de los datos.

6. Medidas de seguridad

Zayloft mantendrá medidas técnicas y organizativas apropiadas teniendo en cuenta el estado de la técnica, costes, naturaleza, contexto, finalidad y riesgos del tratamiento. Las medidas del Anexo 2 se aplicarán según corresponda y podrán actualizarse sin reducir materialmente la protección global.

Las medidas incluyen los controles descritos en el Anexo 2 según correspondan a los Servicios pertinentes. Zayloft podrá actualizar las medidas de seguridad cuando la actualización no reduzca de forma material la protección general de los Datos Personales del Cliente.

7. Brechas de Datos Personales

Zayloft notificará al Cliente sin demora indebida después de conocer una Brecha de Datos Personales que afecte datos tratados como encargado. Proporcionará la información razonablemente disponible necesaria para que el Cliente evalúe el incidente y cumpla sus obligaciones legales.

El aviso incluirá la información razonablemente disponible para Zayloft que el Cliente necesite para evaluar el incidente y cumplir las obligaciones de notificación aplicables, como la naturaleza del incidente, los datos o sistemas afectados, las consecuencias probables y las medidas adoptadas o propuestas.

La notificación de un incidente no constituye admisión de culpa ni responsabilidad. El Cliente sigue siendo responsable de determinar si la ley exige notificaciones a autoridades o Titulares de Datos, salvo que la ley aplicable asigne directamente esa obligación a Zayloft.

8. Solicitudes de titulares

Zayloft prestará asistencia razonable para que el Cliente responda a solicitudes de derechos de los titulares. Si recibe directamente una solicitud sobre datos controlados por el Cliente, podrá remitir al solicitante al Cliente salvo autorización o exigencia legal distinta.

Si Zayloft recibe directamente una solicitud relativa a Datos Personales del Cliente para los que el Cliente es responsable del tratamiento, Zayloft podrá remitir al solicitante al Cliente y no responderá de forma independiente sobre el fondo salvo autorización del Cliente o exigencia legal.

9. DPIAs, consultas y asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, Zayloft prestará asistencia razonable con seguridad, brechas, evaluaciones de impacto y consultas previas relacionadas con los Servicios. Trabajo personalizado sustancial puede estar sujeto a tarifas acordadas salvo cuando derive de un incumplimiento de Zayloft.

La asistencia que requiera trabajo personalizado sustancial podrá estar sujeta a tarifas acordadas mutuamente, salvo que la necesidad de asistencia resulte de un incumplimiento de Zayloft del Acuerdo o de la ley aplicable.

10. Registros, información y auditorías

Zayloft pondrá a disposición información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como encargado. Cuando la ley exija una auditoría, se priorizarán informes, certificaciones, cuestionarios o documentación disponibles y cualquier auditoría in situ deberá ser proporcionada y proteger la confidencialidad de otros clientes.

Cuando lo exija la ley aplicable, el Cliente podrá solicitar una auditoría o inspección relacionada con el tratamiento de Datos Personales del Cliente por Zayloft. Las partes utilizarán primero informes independientes, certificaciones, cuestionarios o documentación disponibles cuando satisfagan razonablemente la solicitud.

Toda auditoría in situ debe ser proporcional, coordinarse con antelación, evitar interrupciones injustificadas, proteger la confidencialidad y los sistemas de otros clientes y cumplir requisitos de seguridad razonables.

11. Subencargados

El Cliente otorga autorización general para que Zayloft utilice subencargados. Zayloft impondrá obligaciones escritas de protección de datos adecuadas, seguirá siendo responsable en la medida exigida por ley y ofrecerá el mecanismo de aviso y objeción exigido cuando corresponda.

Zayloft sigue siendo responsable del desempeño de sus subencargados en la medida exigida por la ley aplicable y el Acuerdo.

Cuando la ley aplicable exija aviso de nuevos subencargados y oportunidad de objeción, Zayloft proporcionará el mecanismo de aviso correspondiente. La objeción deberá basarse en motivos razonables de protección de datos. Las partes trabajarán de buena fe para alcanzar una solución comercialmente razonable.

12. Información de subencargados

Los subencargados pueden incluir infraestructura cloud, redes y canales de comunicaciones, seguridad y monitoreo, soporte, operaciones, facturación e infraestructura de IA o datos cuando esté habilitada. La lista real y actual debe facilitarse por el canal legal, de confianza, cuenta o soporte correspondiente.

Cuando sea necesario, debe estar disponible una lista actualizada de subencargados específica del servicio a través de la cuenta, canal de confianza, jurídico o de soporte correspondiente. Zayloft no inventará ni publicará proveedores que no utilice realmente.

13. Devolución y eliminación

Al finalizar los Servicios, Zayloft eliminará o devolverá los Datos Personales del Cliente según la elección del Cliente y la funcionalidad disponible, salvo conservación exigida por ley. Backups, recuperación, logs y ciclos técnicos pueden requerir tiempo adicional, durante el cual los datos seguirán protegidos.

La eliminación puede estar sujeta a ciclos razonables de copias de seguridad, recuperación ante desastres, registros de seguridad y eliminación técnica. Los datos conservados únicamente porque la eliminación aún no se ha completado técnicamente o porque la ley exige conservarlos seguirán protegidos y no se utilizarán para fines no relacionados.

El Cliente es responsable de exportar la información que necesite antes del cierre de la cuenta o de que finalice un período de exportación aplicable.

14. Transferencias transfronterizas

Zayloft y sus subencargados pueden tratar datos fuera del país del Cliente o del titular cuando el Acuerdo y la ley lo permitan. Cuando se requiera un mecanismo para transferencias restringidas, las partes utilizarán una decisión de adecuación, cláusulas contractuales aprobadas, reglas corporativas vinculantes u otro mecanismo válido aplicable a la transferencia.

Cuando una transferencia restringida requiera un mecanismo jurídico de transferencia, las partes utilizarán un mecanismo válido aplicable a la transferencia, como una decisión de adecuación, cláusulas contractuales tipo aprobadas, normas corporativas vinculantes, un mecanismo de certificación aprobado cuando esté disponible u otro mecanismo reconocido por la ley aplicable.

Cuando las Cláusulas Contractuales Tipo de la UE, la IDTA o Adenda del Reino Unido, cláusulas suizas de transferencia u otro instrumento prescrito deban completarse con selecciones específicas de las partes, estas ejecutarán o incorporarán el módulo y la información de anexos adecuados para la transferencia pertinente, sin inventar una jurisdicción o selección que no corresponda a la relación contractual real.

15. EEE, Reino Unido y Suiza

Para tratamientos sujetos al GDPR o UK GDPR, Zayloft cumplirá las obligaciones de encargado aplicables sobre instrucciones, confidencialidad, seguridad, subencargados, asistencia, devolución o eliminación e información de cumplimiento. Los mecanismos de transferencia de la UE, Reino Unido o Suiza se completarán según los roles, ubicaciones y hechos reales de la relación.

Para una transferencia sujeta al Capítulo V del RGPD o a las reglas de transferencia correspondientes del Reino Unido, el mecanismo de transferencia aplicable y las salvaguardas complementarias se identificarán según la transferencia real, las ubicaciones y las funciones de las partes.

Cuando se aplique la legislación suiza de protección de datos, las referencias a conceptos del RGPD se interpretarán de forma que incluyan requisitos suizos equivalentes en la medida necesaria para el tratamiento correspondiente.

16. California y otros estados de EE. UU.

Cuando Zayloft actúe como service provider, contractor o processor bajo una ley estatal de EE. UU., tratará la Información Personal solo para los fines limitados y especificados permitidos. No venderá la Información Personal del Cliente ni la combinará, conservará, usará o divulgará de una manera prohibida por la ley aplicable.

Zayloft no venderá Información Personal del Cliente ni la conservará, utilizará o divulgará fuera de la relación comercial directa o para fines prohibidos a un proveedor de servicios, contratista o encargado por la ley aplicable. Zayloft no combinará Información Personal del Cliente con otra Información Personal cuando dicha combinación esté prohibida, salvo en la medida legalmente permitida.

Zayloft proporcionará la asistencia requerida con solicitudes verificadas de consumidores y notificará al Cliente si determina que ya no puede cumplir una obligación aplicable como proveedor de servicios, contratista o encargado.

17. Brasil

Cuando aplique la LGPD de Brasil y el Cliente sea controlador mientras Zayloft sea operador, Zayloft seguirá instrucciones lícitas y obligaciones aplicables al operador. Las partes cooperarán sobre seguridad, derechos, incidentes, registros y mecanismos de transferencia exigidos por la legislación brasileña y la ANPD.

Las partes mantendrán medidas de seguridad y gobernanza adecuadas y cooperarán en la medida razonablemente necesaria en relación con los derechos de los Titulares de Datos, incidentes de seguridad y registros o evaluaciones exigidos legalmente.

Las transferencias transfronterizas de Datos Personales sujetas a la LGPD utilizarán, cuando sea necesario, un mecanismo de transferencia permitido por la legislación brasileña y la normativa aplicable de la ANPD.

18. Comunicaciones y verificación

Los servicios de comunicaciones pueden requerir que datos pasen por redes, operadores, mailbox providers, infraestructura de voz, canales y participantes de entrega para prestar el Servicio solicitado. El Cliente instruye esas transmisiones necesarias y sigue siendo responsable de listas, remitentes, contenido, consentimiento, opt-outs y requisitos del destino.

El Cliente instruye a Zayloft para realizar las divulgaciones y transmisiones necesarias para entrega, recepción, verificación, enrutamiento, resolución de problemas y operación relacionada del Servicio, sujeto al Acuerdo y la ley aplicable.

El Cliente sigue siendo responsable de la licitud de sus listas de destinatarios, identidades de remitentes, contenido de comunicaciones, registros de consentimiento, gestión de bajas e instrucciones específicas de destino.

19. IA y PLN

Si el Cliente habilita IA o PLN, instruye a Zayloft para tratar prompts, documentos, contenido recuperado, embeddings, outputs y metadatos necesarios. Los subencargados y reglas de transferencia de estos Términos también se aplican a proveedores externos de modelos o infraestructura.

Zayloft aplicará a dicho tratamiento la configuración de servicio y las restricciones contractuales correspondientes. El Cliente no debe enviar datos sensibles o regulados a funciones de IA salvo que sea necesario, autorizado y apropiado para el servicio configurado.

Si se utiliza un proveedor externo de modelos o infraestructura como subencargado, las disposiciones de estos Términos sobre subencargados y transferencias se aplican a ese tratamiento.

20. Obligaciones del Cliente

El Cliente es responsable de avisos legales, base jurídica, atención de derechos cuando sea responsable y legalidad de sus instrucciones. También debe proteger sus sistemas, credenciales, endpoints, dispositivos, usuarios e integraciones y no instruir tratamientos que no pueda realizar legalmente.

El Cliente utilizará medidas de seguridad razonables para sus propios sistemas, credenciales, endpoints, dispositivos, usuarios e integraciones y notificará rápidamente a Zayloft sobre credenciales comprometidas o incidentes de seguridad del lado del Cliente que puedan afectar los Servicios.

El Cliente no instruirá a Zayloft para tratar datos que el Cliente tenga prohibido recopilar, utilizar o divulgar.

21. Solicitudes gubernamentales y de terceros

Si Zayloft recibe una solicitud gubernamental legalmente vinculante sobre Datos Personales del Cliente, notificará al Cliente cuando la ley lo permita y podrá impugnar o limitar la solicitud cuando exista base legal razonable. Revelará únicamente la información que determine razonablemente exigida.

Zayloft divulgará únicamente la información que determine razonablemente que es legalmente exigida y aplicará las salvaguardas disponibles adecuadas a la solicitud y a la ley aplicable.

22. Responsabilidad y prioridad

La responsabilidad derivada de estos Términos queda sujeta a las exclusiones, límites y remedios del Acuerdo salvo donde la ley de protección de datos lo prohíba. Un DPA o instrumento de transferencia firmado prevalece para asuntos de tratamiento sobre términos generales incompatibles.

Para cuestiones de tratamiento de datos, un Acuerdo de Tratamiento de Datos o instrumento de transferencia firmado expresamente por las partes prevalece sobre condiciones generales incompatibles. El Formulario de pedido aplicable puede complementar los detalles del tratamiento sin reducir las protecciones obligatorias.

23. Plazo y supervivencia

Estos Términos se aplican mientras Zayloft trate Datos Personales por cuenta del Cliente. Las obligaciones de confidencialidad, eliminación y otras protecciones que deban continuar sobreviven durante el periodo aplicable.

24. Contacto de privacidad

Las preguntas de privacidad o tratamiento pueden enviarse a support@zayloft.com con “Data Processing” o “Privacy request” en el asunto. Para instrumentos de transferencia, revisiones de seguridad o anexos específicos, el Cliente debe identificar cuenta, servicios, entidad contratante y ubicaciones relevantes.

Si el Cliente requiere la ejecución de un instrumento de transferencia, revisión de seguridad o anexo de tratamiento específico de un servicio, deberá identificar la cuenta, servicios, entidad contratante y ubicaciones de tratamiento pertinentes para que puedan completarse los documentos correctos.