Acuerdo de tratamiento de datos

1. Quién es quién

Responsable del tratamiento: la tienda que usa VIBBLIN. Decide por qué y cómo tratar los datos de sus visitantes.

Encargado del tratamiento: Numen di Rasman Francesco, que trata esos datos solo para hacer funcionar el servicio, y solo siguiendo las instrucciones del responsable.

Para los datos de la cuenta del comerciante — nombre de la tienda, correo, contraseña, datos del negocio, registros de acceso, registro y suscripción —, el responsable es en cambio Numen di Rasman Francesco: ese tratamiento se describe en la política de privacidad y no entra en este acuerdo.

Paddle, que vende la suscripción, trata los datos de compra del comerciante como responsable independiente. No es un subencargado de este acuerdo y no recibe datos de los visitantes.

2. Objeto, naturaleza y finalidad

Objeto: el tratamiento de los datos personales que los visitantes de la tienda dejan en el chat y en los formularios, necesario para prestar el servicio descrito en los Términos.

Naturaleza: recogida, registro, organización, conservación, consulta, comunicación al proveedor principal de modelos de lenguaje y, solo cuando este no responde, al proveedor de reserva, para generar las respuestas y para las traducciones, comunicación de las respuestas al proveedor de reserva para su control automático antes del envío, junto, en las tiendas con instrucciones personalizadas, con el mensaje del visitante al que responden, supresión.

Finalidad: responder a las solicitudes de los visitantes, permitir a la tienda releer las conversaciones y volver a contactar con los visitantes, enviar a la tienda las notificaciones que ha activado y producir las estadísticas que muestra el panel.

Ningún otro uso. En particular, ningún dato de la tienda se usa para entrenar modelos, para elaborar perfiles publicitarios ni para fines propios de Numen di Rasman Francesco.

3. Tipos de datos y categorías de interesados

Interesados: los visitantes del sitio web de la tienda que abren el chat o rellenan un formulario, y las personas que la tienda menciona en los contenidos que sube.

La conversación es un campo libre: también puede contener datos que el visitante decide escribir, incluidos los de la sección 4.

4. Categorías especiales de datos y actividades profesionales

4.1 El servicio no está pensado para recoger categorías especiales de datos (art. 9 del RGPD: salud, origen étnico, convicciones, datos genéticos y biométricos, vida sexual) ni datos penales (art. 10). El responsable no configura formularios, campos ni instrucciones que los pidan.

4.2 Sin embargo, un chat sigue siendo un campo libre. Los visitantes pueden escribir por iniciativa propia datos sobre su salud u otras categorías especiales de datos, y ocurre sobre todo con las actividades sanitarias (consultas médicas y dentales, fisioterapia, farmacias, psicólogos) y con las jurídicas y financieras. Esos datos pasan a formar parte de la conversación y los tratamos como el resto: por cuenta del responsable, solo para las finalidades de la sección 2 y con las medidas de la sección 7.

4.3 Es el responsable quien decide:

• con qué base jurídica, y con cuál de las condiciones del art. 9.2, el tratamiento es lícito;
• qué decir a los visitantes, en su política de privacidad y, si quiere, en el mensaje de bienvenida del chat (por ejemplo, que no escriban datos de salud que no sean necesarios para la solicitud);
• durante cuánto tiempo conservarlos, incluso borrando una conversación antes de su vencimiento;
• si hace falta una evaluación de impacto (art. 35), para la que le prestamos asistencia (sección 11).

4.4 El enmascaramiento automático (sección 7) reconoce correos, teléfonos, IBAN, tarjetas, números de identificación fiscal, números de IVA, direcciones postales y direcciones IP, en cada mensaje enviado a los proveedores de modelos de lenguaje, también en el que el visitante acaba de escribir; los números de pedido no. No reconoce los datos de salud, que llegan a los proveedores de modelos de lenguaje tal como se escribieron. El responsable lo tiene en cuenta en sus decisiones.

4.5 Si el responsable está sujeto al secreto profesional, es él quien valora si usar el chat con sus clientes y cómo; nosotros estamos en todo caso sujetos a la confidencialidad de la sección 6.

5. Instrucciones documentadas

Numen di Rasman Francesco trata los datos solo siguiendo instrucciones documentadas del responsable. Las instrucciones son: los Términos, este acuerdo y la configuración que el comerciante establece en el panel (qué formularios, qué campos, qué notificaciones, qué política de privacidad mostrar).

Si una instrucción infringiera el RGPD, lo decimos y no la ejecutamos.

Si una ley nos obliga a un tratamiento distinto, se lo comunicamos antes al responsable, salvo que esa misma ley lo prohíba.

6. Confidencialidad

Quien trata estos datos por nuestra cuenta está obligado a la confidencialidad por contrato o por ley, y accede solo a lo necesario para su tarea.

El acceso a los datos de una tienda desde la consola de administración se realiza en modo de solo lectura, caduca a los treinta minutos y deja una línea en el registro: quién ha entrado, cuándo y en qué tienda.

7. Medidas de seguridad (art. 32)

Estas son las medidas que existen de verdad, no una lista de buenas intenciones. Si una medida no existe, este documento no la menciona.

• Transporte cifrado: TLS entre el navegador y el servidor; la aplicación se comunica con la base de datos por red local.
• Contraseñas: guardadas como hash scrypt; un cambio de contraseña invalida todas las sesiones abiertas.
• Acceso: bloqueo progresivo de los intentos fallidos, vinculado al par cuenta+dirección, de modo que un extraño no pueda dejar fuera a un comerciante; límites de frecuencia en todas las llamadas públicas.
• Separación entre tiendas: cada lectura y cada escritura está vinculada a la tienda que la pide, verificada en cada petición; los archivos adjuntos de los formularios solo se descargan desde una ruta autenticada.
• Seudonimización frente a los proveedores de modelos: los correos, teléfonos, IBAN, tarjetas, números de identificación fiscal, números de IVA, direcciones postales y direcciones IP reconocidos se sustituyen por marcadores, cifrados con una clave dedicada, antes del envío a los proveedores de modelos de lenguaje, en cada mensaje: el que el visitante acaba de escribir, los mensajes anteriores de la conversación, y la respuesta y el mensaje enviados al control de las respuestas. Los números de pedido quedan sin enmascarar. Los datos reales se quedan en los servidores del encargado: allí la respuesta los recupera antes de llegar al visitante, y allí los contactos, las solicitudes y los presupuestos se componen con el texto original.
• Control de las respuestas: cada respuesta del modelo pasa por un control automático antes de llegar al visitante.
• Direcciones IP: conservadas solo como huella con clave, nunca en claro en los datos de la tienda.
• Contenidos escritos por el comerciante: saneados con una lista de etiquetas permitidas antes de guardarse y mostrarse.
• Copias de seguridad: cada día una copia de la base de datos, que se guarda en el servidor 14 días, y cada semana una copia del servidor entero, que guarda el proveedor de alojamiento separada del servidor. La restauración desde una copia se ha probado de verdad.
• Continuidad: un servicio externo avisa si el sistema deja de dar señales de vida; los errores se registran y se muestran en una página de estado.
• Borrado automático: las conversaciones y los contactos que superan el periodo del plan se borran cada noche.

8. Subencargados del tratamiento

El responsable autoriza de forma general a los subencargados aquí enumerados. Si cambiamos o añadimos uno, lo comunicamos por escrito con treinta días de antelación al correo de la cuenta y actualizamos la página /subprocessors, que siempre muestra la lista vigente: dentro de ese plazo el responsable puede oponerse y, si la oposición está fundada y no encontramos una alternativa, puede resolver el contrato sin penalización.

Cada subencargado está sujeto a obligaciones no menos estrictas que las de este acuerdo. Respondemos de su actuación como de la nuestra.

Telegram interviene solo si el responsable activa las notificaciones de Telegram: activarlas es una instrucción del responsable, y con ella el responsable autoriza ese tratamiento y la transferencia que conlleva. OpenAI, el proveedor de reserva de modelos de lenguaje, genera las respuestas solo cuando el proveedor principal no responde; el control automático de las respuestas antes del envío (sección 7), en cambio, lo hace siempre y, en las tiendas con instrucciones personalizadas, recibe con la respuesta también el mensaje del visitante al que responde.

El proveedor principal de modelos de lenguaje es Anthropic Ireland, Limited, que en los términos comerciales de Anthropic es la contraparte de quien tiene su sede en el Espacio Económico Europeo. Los datos se tratan en Estados Unidos, con las cláusulas contractuales tipo de la Unión Europea (módulos 2 y 3) de su acuerdo de tratamiento de datos. Anthropic se compromete a no entrenar sus modelos con los datos que le enviamos y borra preguntas y respuestas en un plazo de treinta días, salvo cuando debe conservarlas más tiempo para hacer cumplir sus normas de uso o por obligación legal. El proveedor de reserva, OpenAI, declara que los datos enviados a su API no se usan para entrenar ni mejorar sus modelos, salvo adhesión expresa, que no hemos dado; sus registros de control de abusos se conservan hasta treinta días. Las fuentes y las fechas de las verificaciones se indican en la tabla.

9. Derechos de los interesados

Las solicitudes de los interesados las recibe el responsable. Si nos llegan a nosotros, se las trasladamos al responsable sin responder sobre el fondo.

Damos al responsable las herramientas para responder por sí mismo: exportación completa de los datos en formato legible, exportación portable, borrado de una conversación o de un contacto, borrado de los datos que superan un periodo, anonimización de las estadísticas. Son opciones del panel, no solicitudes que haya que abrir con nosotros.

Cuando las herramientas no bastan, asistimos al responsable en plazos razonables y sin costes adicionales.

10. Violaciones de la seguridad de los datos

Si tenemos conocimiento de una violación que afecte a los datos del responsable, le avisamos sin dilación indebida y en todo caso en un plazo de 48 horas desde que tengamos constancia de ella, en el correo de contacto de la cuenta.

La comunicación indica: qué ha ocurrido, qué categorías de datos y cuántos interesados se ven afectados, las consecuencias probables y las medidas adoptadas. Es el responsable quien decide si notificarlo a la autoridad de control y a los interesados; nosotros le damos todo lo necesario para hacerlo.

11. Asistencia al responsable

Asistimos al responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, en: la seguridad del tratamiento (art. 32), la notificación de las violaciones (arts. 33 y 34), la evaluación de impacto y la consulta previa (arts. 35 y 36).

12. Qué ocurre al final

12.1 Mientras dure el contrato, el responsable puede exportar los datos o eliminar la cuenta cuando quiera. Las dos cosas están en la misma página: Dashboard → Privacy & GDPR.

12.2 Si el responsable elimina la cuenta, el borrado es inmediato y definitivo: los datos desaparecen en el acto, no hay papelera ni periodo de gracia. Quien necesite una copia debe exportarla antes.

12.3 Si el contrato termina de otro modo — cancelación, prueba no continuada, impago, resolución por incumplimiento —, el widget se detiene y durante 30 días el panel sigue accesible en modo de solo lectura, para exportar. En caso de impago, esos días se cuentan desde la suspensión. 7 días antes del final de ese periodo escribimos al responsable; al final borramos automáticamente todos los datos tratados por su cuenta.

12.4 Las copias de seguridad ya creadas (las diarias de la base de datos, que se guardan 14 días, y las semanales del servidor entero, que guarda el proveedor de alojamiento) conservan los datos no más de treinta días y después caducan por sí solas; no se restauran salvo por un incidente, y en ese caso el borrado se vuelve a aplicar justo después de la restauración.

12.5 Tras el borrado no conservamos datos de los visitantes. Lo que queda (la huella del correo y las huellas de los dominios de los sitios web de la prueba) se refiere al comerciante, no a los visitantes, y se describe en la política de privacidad.

13. Auditorías

Previa solicitud por escrito, y no más de una vez al año salvo incidente, ponemos a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo, y permitimos una auditoría acordada con un preaviso de treinta días.

La auditoría no puede comprometer la confidencialidad de los datos de otras tiendas ni la seguridad del servicio.

Los costes de la auditoría corren a cargo del responsable, salvo que la auditoría revele un incumplimiento de este acuerdo: en ese caso los asumimos nosotros.

14. Duración

Este acuerdo se aplica desde el primer día de la prueba, o desde la aceptación si la cuenta la hemos creado nosotros, mientras Numen di Rasman Francesco trate datos personales por cuenta del responsable: es decir, hasta el borrado de la sección 12.

Cada versión lleva un número y una fecha. Una nueva versión requiere una nueva aceptación en el siguiente acceso.