Contrato de encargo del tratamiento.

Para que Brain trabaje con el ERP del cliente, DoliBrain trata datos personales de los que el cliente es responsable. Este contrato regula ese tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al contratar DoliBrain, forma parte del contrato y dura lo mismo que él.

1. Partes

• Responsable del tratamiento: la empresa o el profesional que contrata DoliBrain («el cliente»).
• Encargado del tratamiento: Webs Creative LLC (EIN 37-2170712), 500 4th St NW, Suite 102, Albuquerque, NM 87102, Estados Unidos, que presta el servicio DoliBrain («el encargado»). Contacto: soporte@dolibrain.com.

2. Objeto, naturaleza y finalidad

El encargado trata los datos solo para prestar DoliBrain: consultar el ERP o el CRM del cliente, preparar y hacer los cambios que aprueben sus usuarios, leer lo que escriban o dicten (el dictado llega ya convertido en texto) y los documentos que envíen, los correos de los buzones que el cliente conecte y los registros de jornada y firmas que gestione con el servicio, y guardar el historial de conversaciones y de acciones. Las operaciones son las necesarias para ello: consulta, registro, conservación, modificación en el ERP por orden del usuario, comunicación a los subencargados y supresión.

• Tipos de datos: los que haya en el ERP del cliente o en lo que se envíe al servicio: identificativos y de contacto, económicos, comerciales y de facturación, y los laborales que el cliente decida tratar (nóminas, registro de jornada, firmas). Las nóminas y el registro de jornada pueden incluir categorías especiales de datos (bajas médicas, discapacidad, afiliación sindical): si el cliente usa esas funciones, el encargado guarda esos documentos en almacenamiento privado y solo los envía al proveedor de IA para separarlos por persona, sin extraer ni guardar sus importes.
• Personas afectadas: clientes, clientes potenciales, proveedores, empleados y usuarios del cliente, y las personas que figuren en sus documentos.

3. Instrucciones del cliente

Son instrucciones documentadas del cliente este contrato, las condiciones del servicio, la configuración que hace en su panel y las órdenes que dan sus usuarios dentro del servicio. El encargado solo trata los datos siguiendo esas instrucciones, también en cuanto a transferencias internacionales, salvo que una ley le obligue a otra cosa; en ese caso se lo dirá antes al cliente, si la ley lo permite. Si una instrucción le parece contraria a la normativa de protección de datos, lo avisará de inmediato.

Es también instrucción del cliente que el encargado revise las respuestas de Brain que reporten sus usuarios, con lo que se preguntó justo antes, para corregir y mejorar el servicio. No se usan para entrenar modelos de inteligencia artificial.

4. Obligaciones del encargado

• No usar los datos para fines propios ni comunicarlos a terceros fuera de lo previsto en este contrato.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD adecuadas al riesgo, entre ellas: conexiones cifradas (HTTPS), claves de API y secretos cifrados en la base de datos, separación de los datos de cada cliente, acceso del personal limitado a lo imprescindible y registrado, aprobación humana de los cambios en el ERP salvo lo que el cliente configure de otra forma, copias de seguridad y borrado automático de los adjuntos a los 30 días.
• Ayudar al cliente, teniendo en cuenta la naturaleza del tratamiento, a responder a las personas que ejerzan sus derechos y a cumplir sus obligaciones de seguridad, de notificación de brechas, de evaluación de impacto y de consulta previa.
• Avisar al cliente sin dilación indebida, y como tarde en 48 horas desde que la conozca, de cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que pueda notificarla.
• Llevar el registro de actividades de tratamiento como encargado cuando la ley lo exija.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, con un preaviso razonable, por el cliente o por un auditor obligado a confidencialidad, corriendo cada parte con sus gastos.

5. Subencargados

El cliente da su autorización general para que el encargado recurra a otros encargados. Hoy son estos:

• Grupo Loading Systems, S.L. (España): el servidor y la base de datos donde funciona DoliBrain, y el correo electrónico del servicio.
• Anthropic, PBC (Estados Unidos): el modelo de inteligencia artificial. Para generar cada respuesta recibe lo que se escribe o se envía a Brain y lo procesa en Estados Unidos. Según sus condiciones comerciales, no usa lo que le enviamos para entrenar sus modelos y lo conserva un tiempo limitado, salvo lo que deba guardar más por seguridad o por ley.
• Google Cloud (servicio Text-to-Speech, en servidores de la Unión Europea): solo si los usuarios usan la voz premium de la app, recibe el texto de las respuestas para convertirlo en audio. DoliBrain no guarda ni el texto ni el audio.

Los cobros los gestiona Stripe con los datos de facturación de la cuenta, de los que Webs Creative es responsable (ver la política de privacidad); Stripe nunca recibe datos del ERP.

El encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato le impone a él, y responde ante el cliente de su cumplimiento. Avisará al cliente por correo de cualquier alta o cambio de subencargado con al menos 15 días de antelación; el cliente puede oponerse por motivos fundados y, si no se llega a una solución, cancelar el servicio antes de que el cambio se aplique.

6. Transferencias internacionales

El servidor y la base de datos están en España. Para generar cada respuesta, lo que se escribe o se envía a Brain se manda a Anthropic, PBC, que lo procesa en Estados Unidos con las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en su contrato de tratamiento de datos. El encargado es también una empresa de Estados Unidos; su equipo trabaja desde España. Cualquier otra transferencia fuera del Espacio Económico Europeo se hará solo con las garantías del capítulo V del RGPD. El cliente puede pedir copia de esas garantías.

7. Fin del encargo

Al terminar el servicio, el cliente puede pedir una copia de los datos de su cuenta durante 30 días. Pasado ese plazo, el encargado los suprime, incluidas las copias, salvo los que una ley le obligue a conservar, que mantendrá bloqueados el tiempo exigido. Los datos que estén en el ERP del cliente no se tocan: son suyos.

8. Obligaciones del cliente

• Tener una base jurídica para tratar los datos de su ERP y para enviarlos a DoliBrain, e informar a las personas afectadas.
• Informar a sus empleados de que los administradores de la cuenta pueden ver sus conversaciones con Brain y, si usa el registro de jornada, de cómo se registra.
• Dar a cada persona solo los permisos que necesite en su ERP y en DoliBrain, y supervisar el tratamiento.

9. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o la normativa de protección de datos, conforme al artículo 82 del RGPD. Si el encargado usa los datos para fines propios o incumple las instrucciones del cliente, se le considera responsable de ese tratamiento. Entre las partes se aplica el límite de responsabilidad del apartado 13 de las condiciones del servicio, salvo dolo, culpa grave o uso de los datos para fines propios; ese límite no afecta a los derechos de las personas afectadas.