Este Acuerdo de tratamiento de datos («DPA») regula cómo Klinworks, LLC («Klinworks», «nosotros»), sociedad de responsabilidad limitada de Delaware (Estados Unidos), expediente n.º 10704723, con oficina registrada en 131 Continental Drive, Suite 305, Newark, Delaware 19713, trata los datos personales que tú, como cliente («tú», «el Cliente»), introduces o conectas en el servicio Agent CEO (el «Servicio»).
Se aplica a los clientes que usan el Servicio para tratar datos personales de terceros —sus clientes, contactos, proveedores— y cumple los requisitos del artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 («RGPD») y de la normativa equivalente. Complementa los Términos del servicio, la Política de privacidad y el Aviso RGPD y CCPA, y es coherente con ellos.
Este documento es la versión publicada del DPA. Si has firmado con nosotros una versión del DPA, la versión firmada prevalece sobre esta página.
1. Papeles de cada parte
1.1 Tú eres el responsable. Decides para qué y cómo se tratan los datos personales de tus clientes, contactos y proveedores, y respondes de tener base legal para tratarlos y de haber informado a esas personas.
1.2 Klinworks es el encargado. Cuando tratamos esos datos para prestarte el Servicio, actuamos por cuenta tuya y solo siguiendo tus instrucciones.
1.3 Lo que este DPA no cubre. Los datos de las personas usuarias del Servicio —tu cuenta, facturación, soporte y uso de la plataforma— los tratamos como responsables, conforme a la Política de privacidad. Este DPA no se aplica a ellos.
2. Objeto, duración, naturaleza y finalidad
2.1 Objeto. El tratamiento de los datos personales que el Cliente introduce en el Servicio o que llegan a él desde los sistemas que el Cliente conecta.
2.2 Duración. Mientras dure la prestación del Servicio, más el plazo de devolución y supresión de la sección 10.
2.3 Naturaleza. Alojamiento, almacenamiento, organización, consulta, modificación, transmisión a los sistemas que conectes, y procesamiento por agentes de IA y modelos de lenguaje, siempre según la configuración que tú establezcas.
2.4 Finalidad. Exclusivamente prestarte el Servicio: que tus agentes ejecuten el trabajo de tu negocio que tú configuras. No usamos esos datos para fines propios ni para entrenar modelos de IA (Términos §7.3).
3. Categorías de datos y de interesados
3.1 Interesados. Las personas cuyos datos tú introduces o conectas: tus clientes, contactos, proveedores y, en su caso, otros terceros con los que tu negocio se relacione.
3.2 Categorías de datos. Las que tú decidas tratar, normalmente: nombre, correo electrónico, teléfono, empresa, histórico de pedidos y transacciones, conversaciones por correo, WhatsApp u otros canales, y el contenido que tus agentes generan sobre ellos.
3.3 Categorías especiales. El Servicio no está pensado para tratar categorías especiales de datos (salud, origen étnico, opiniones políticas, biometría). Si las introduces, lo haces bajo tu responsabilidad y debes contar con base legal para ello (Política de privacidad §2).
4. Instrucciones documentadas
4.1 Solo tus instrucciones. Tratamos los datos únicamente siguiendo tus instrucciones documentadas, que son las que se derivan de los Términos, de este DPA y de cómo configuras y usas el Servicio, incluidas sus integraciones y sus agentes.
4.2 Instrucción ilegal. Si consideramos que una instrucción infringe el RGPD u otra norma de protección de datos, te lo comunicaremos sin dilación.
4.3 Obligaciones legales. Si la ley nos obliga a tratar los datos de otro modo, te informaremos antes, salvo que esa misma ley lo prohíba.
5. Confidencialidad
Las personas autorizadas a acceder a los datos están sujetas a un deber de confidencialidad, contractual o legal. El acceso de nuestro personal está limitado a lo imprescindible para operar el Servicio y responder incidencias; no leemos tu contenido salvo que nos lo pidas, lo exija la ley o sea imprescindible para investigar un abuso grave (Política de seguridad §3.4).
6. Seguridad (art. 32)
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:
- Cifrado en tránsito (TLS 1.2 o superior) y en reposo.
- Cifrado de las credenciales de integraciones con una clave que no reside en la base de datos.
- Aislamiento entre organizaciones en dos capas, base de datos y aplicación, verificado con pruebas automatizadas.
- Control de acceso por rol y verificación en dos pasos disponible.
- Registro de auditoría de las operaciones sensibles y copias de seguridad.
El detalle, incluido lo que todavía no tenemos, está en la Política de seguridad. Podemos actualizar estas medidas siempre que no reduzcan el nivel de protección.
7. Subencargados
7.1 Autorización general. Nos das autorización general para recurrir a subencargados (subprocesadores) que traten datos personales por tu cuenta para prestar el Servicio.
7.2 Lista viva. La lista vigente, con su finalidad, ubicación y estado, está publicada en /legal/subprocesadores. Esa página forma parte de este DPA.
7.3 Mismas obligaciones. Imponemos a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este DPA. Seguimos respondiendo ante ti de su cumplimiento.
7.4 Cambios y derecho a objetar. Te avisaremos de cualquier subencargado nuevo con una antelación de [PENDIENTE: días de preaviso, p. ej. 30]. Podrás oponerte por motivos razonables de protección de datos escribiendo a privacidad@klinworks.com, como explica la página de subprocesadores (§5).
8. Asistencia al responsable
8.1 Derechos de los interesados. Te ayudaremos, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición de tus interesados. El Servicio te permite consultar, corregir, exportar y eliminar los datos directamente. Si una persona se dirige a nosotros sobre datos que tratamos por tu cuenta, te la remitiremos sin responderle en el fondo.
8.2 Otras obligaciones. Te asistiremos razonablemente con tus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas a la autoridad de control (arts. 32 a 36 RGPD), con la información de que dispongamos.
9. Violaciones de seguridad
Si sufrimos una violación de seguridad que afecte a los datos que tratamos por tu cuenta, te lo notificaremos sin dilación indebida y en un plazo de [PENDIENTE: plazo en horas, p. ej. 48 h] desde que tengamos conocimiento, y en ningún caso más tarde de las 72 horas que fija la Política de seguridad (§10).
La notificación incluirá, en la medida en que la conozcamos: qué ocurrió, qué categorías y número aproximado de interesados y registros se vieron afectados, las consecuencias probables, las medidas tomadas o propuestas, y un contacto para más información. Si no tenemos toda la información a la vez, te la daremos por fases. Así podrás cumplir tus propias obligaciones de los arts. 33 y 34 del RGPD.
10. Devolución y supresión al terminar
Al terminar el Servicio dispones de 30 días para exportar tu contenido (Términos §9.3). Transcurrido ese plazo, suprimimos los datos personales que tratamos por tu cuenta, salvo lo que la ley nos obligue a conservar. Las copias de seguridad siguen su ciclo de rotación y se sobrescriben en el plazo indicado en la Política de privacidad (§7).
11. Auditorías
Pondremos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, y permitiremos y contribuiremos a auditorías razonables, incluidas inspecciones, realizadas por ti o por un auditor que designes, sujeto a:
- Un aviso previo razonable y un acuerdo sobre alcance, fecha y duración.
- Un deber de confidencialidad del auditor.
- Que no se acceda a datos de otros clientes ni se comprometa la seguridad del Servicio.
Hoy no tenemos certificaciones SOC 2 ni ISO 27001 (Política de seguridad §8). Frecuencia y reparto de costes de las auditorías: [PENDIENTE].
12. Transferencias internacionales
Klinworks está en Estados Unidos y trata los datos allí, igual que la mayoría de sus subencargados. Las transferencias desde el Espacio Económico Europeo, el Reino Unido o Suiza se amparan en el mecanismo siguiente: [PENDIENTE: Data Privacy Framework / cláusulas contractuales tipo — confirmar]. Hoy el Aviso RGPD y CCPA (§4) indica las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, complementadas con cifrado en tránsito y en reposo, control de acceso por rol y minimización de los datos transferidos.
13. Responsabilidad y orden de prevalencia
13.1 Responsabilidad. La responsabilidad de cada parte derivada de este DPA se rige por los límites de los Términos (§10), salvo en lo que la ley no permita limitar.
13.2 Prevalencia. En materia de protección de datos, este DPA prevalece sobre los Términos. Una versión firmada del DPA prevalece sobre esta versión publicada.
14. Cómo firmar el DPA
Este DPA publicado se aplica a todos los clientes por el hecho de usar el Servicio en las condiciones de la sección 1. Si necesitas una copia firmada —por ejemplo, para tu registro de actividades o por exigencia de tus propios clientes—, escríbenos a legal@klinworks.com indicando el nombre legal de tu empresa, su dirección y la persona firmante.
Contacto
Klinworks, LLC 131 Continental Drive, Suite 305 Newark, Delaware 19713, Estados Unidos Expediente de Delaware n.º 10704723
- Firma del DPA y asuntos legales: legal@klinworks.com
- Privacidad y objeciones a subencargados: privacidad@klinworks.com
- Incidentes de seguridad: security@klinworks.com