Acuerdo de encargo de tratamiento (DPA)

Este acuerdo regula, conforme al artículo 28 del RGPD, el tratamiento de datos personales que Savia IA (Robert Nicuta, profesional autónomo, con domicilio profesional a efectos de notificaciones en Carrer de Jaume I, 31, 07860 Sant Francesc de Formentera, Illes Balears, España, el «Encargado») realiza por cuenta de la empresa cliente (el «Responsable») al prestar el servicio Savia IA. Forma parte de los Términos del servicio y se aplica desde el alta de la cuenta.

El número de identificación fiscal del Encargado consta en el contrato firmado con el Responsable y se facilita a solicitud escrita en hola@saviaia.es.

1. Objeto, naturaleza y finalidad

El Encargado trata los datos personales contenidos en la información que el Responsable sube o genera en el servicio, con la única finalidad de prestarlo: almacenar, indexar, buscar y generar respuestas sobre ese contenido, capturar conocimiento del uso de la propia herramienta y mantener el registro de auditoría. El tratamiento dura mientras la cuenta exista.

2. Tipos de datos e interesados

Interesados: empleados y colaboradores del Responsable, sus clientes y las personas de contacto de estos si usa las fichas de clientes, y las personas que aparezcan en el contenido que suba.

Datos: los que el Responsable decida subir. Con carácter general, datos identificativos y profesionales (nombre, email, cargo, departamento), el contenido de documentos y conversaciones de trabajo y, si el Responsable usa las fichas de empleados o de clientes, los campos que su equipo decida guardar (por ejemplo DNI, datos económicos, situaciones de baja o datos de contacto). El Responsable decide qué sube y responde de la licitud de ese contenido.

3. Instrucciones del Responsable

El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable, que se materializan en el uso de las funciones del servicio. Si consideramos que una instrucción infringe el RGPD u otra norma de protección de datos, avisaremos al Responsable antes de ejecutarla.

4. Confidencialidad

Las personas autorizadas a tratar datos por parte del Encargado están comprometidas a la confidencialidad. El acceso del soporte de Savia IA a una cuenta se produce solo para resolver incidencias, queda registrado en el registro de auditoría del propio Responsable y caduca automáticamente.

5. Medidas de seguridad

El Encargado aplica, como mínimo, las siguientes medidas técnicas y organizativas (art. 32 RGPD):

• Aislamiento por empresa en dos capas independientes: políticas de seguridad a nivel de fila en la base de datos y almacén de vectores con colección separada por empresa, verificado con pruebas automáticas.
• Aislamiento por departamento dentro de cada empresa, también reforzado a nivel de base de datos.
• Fichas fuera del buscador semántico: los datos de las fichas de empleados y de clientes no se vectorizan. Cada acceso, desde la pantalla de fichas o desde el chat, comprueba el permiso exacto en el servidor.
• Cifrado del tráfico (TLS), contraseñas almacenadas con hash robusto, verificación en dos pasos disponible y bloqueo ante intentos repetidos de acceso.
• Registro de auditoría de las acciones relevantes, incluidas las sesiones de nuestro propio soporte, visible para el Responsable.
• Copias de seguridad diarias, guardadas en un centro de datos distinto del principal, también en Francia, con procedimiento de restauración probado. Cada copia se conserva 14 días.
• Supresión completa y verificable al terminar el servicio (ver sección 8).

6. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el servicio. La lista vigente es:

• OVHcloud (alojamiento de la aplicación, la base de datos, el índice vectorial, los archivos y las copias de seguridad; centros de datos en Francia, dentro de la Unión Europea).
• Anthropic (generación de respuestas del chat, incluidos los datos de una ficha cuando se los pide al chat alguien con permiso para verlos; EE. UU., con acuerdo de tratamiento, mecanismos de transferencia válidos y compromiso de no entrenar con los datos).
• MongoDB, Inc. (Voyage AI) (representación vectorial de textos para la búsqueda; EE. UU., con acuerdo de tratamiento y mecanismos de transferencia válidos).
• OpenAI Ireland Ltd. (transcripción de audio: tanto la de los vídeos que se indexan como la del dictado por voz del chat; Irlanda, con acuerdo de tratamiento. Existe además una modalidad de despliegue en la que la transcripción se ejecuta en infraestructura propia y ningún audio sale de ella).
• Resend (envío del correo del servicio: invitaciones, enlaces de formulario, recuperación de contraseña, resumen semanal e informe mensual; trata el nombre y la dirección de correo de los usuarios y el contenido de esos avisos).

Cualquier cambio en esta lista se comunicará al Responsable con al menos 15 días de antelación, con derecho a oponerse por motivos justificados; la oposición puede implicar no poder seguir prestando el servicio afectado. Los pagos se gestionan con Stripe, que trata los datos de facturación descritos en la política de privacidad.

7. Asistencia al Responsable

El Encargado asiste al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a los derechos de los interesados (acceso, rectificación, supresión y demás) y en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto.

Si el Encargado tiene conocimiento de una violación de seguridad que afecte a datos personales del Responsable, se la notificará sin dilación indebida, con la información disponible sobre su naturaleza, los datos afectados y las medidas adoptadas.

8. Supresión al finalizar

Al terminar el servicio, o cuando el Responsable lo pida, el Encargado suprime de forma completa e irreversible todos los datos de la empresa en las tres capas del sistema (base de datos, índice vectorial y archivos) en un plazo máximo de 30 días, sin conservar copia salvo obligación legal. Las copias de seguridad que aún los contengan caducan solas dentro de ese plazo. Del borrado queda constancia fechada. No se entrega copia previa salvo que el Responsable la solicite antes de la supresión.

9. Información y auditoría

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo. El Responsable puede solicitar una revisión al año, con preaviso razonable, sin acceso a datos de otros clientes y a su costa.

10. Transferencias internacionales

Los datos se alojan en la Unión Europea, en centros de datos situados en Francia. La transcripción de audio, tanto de vídeos como del dictado por voz, se contrata con una entidad de la Unión Europea (OpenAI Ireland Ltd.). Los proveedores de IA con sede en EE. UU. listados en la sección 6 tratan los fragmentos y datos necesarios para responder cada consulta bajo mecanismos de transferencia válidos (cláusulas contractuales tipo o marco de privacidad de datos UE-EE. UU.). Existe además una modalidad de despliegue con modelos ejecutados en local para clientes que exijan que ningún dato salga de su infraestructura.

11. Ley aplicable

Este acuerdo se rige por la ley española. En lo relativo a protección de datos, prevalece sobre los Términos del servicio.