Contrato de encargo de tratamiento

Este contrato es entre el cliente que contrata Brainstack (el responsable, «tú») y MAJENTIA FORMACION Y DESARROLLO, S.L., con NIF B27683648 y domicilio en Calle José Enrique Marrero Arquitecto, 21, 35017 Las Palmas de Gran Canaria (Las Palmas) (el encargado, «nosotros»). Se aplica automáticamente al aceptar los términos del servicio y dura mientras tratemos datos personales por tu cuenta. Si necesitas una copia firmada por ambas partes, escribe a hola@brainstack.io. Si algo de los términos contradice este contrato en materia de datos personales, prevalece este contrato.

Tratamos los datos personales solo siguiendo tus instrucciones documentadas. Tus instrucciones son este contrato, los términos del servicio y lo que configuras en Brainstack (fuentes conectadas, agentes, permisos, aprobaciones, conservación). Te avisaremos de inmediato si creemos que una instrucción infringe el RGPD u otra norma de protección de datos. Si la ley nos obliga a tratar datos de otro modo, te lo diremos antes salvo que la ley lo prohíba.

Todas las personas que autorizamos a tratar tus datos personales están sujetas a confidencialidad y solo acceden en la medida necesaria para prestar o dar soporte al servicio. El acceso de nuestro personal al servidor de un cliente es limitado, queda registrado y se usa solo para soporte, seguridad u operaciones.

Podemos actualizar estas medidas siempre que no baje el nivel general de protección.

Nos das una autorización general para usar estos subencargados. Te avisaremos por correo al menos 30 días antes de añadir o sustituir uno. Puedes oponerte por motivos razonables de protección de datos en ese plazo; si no podemos resolver la objeción, puedes terminar el servicio afectado y te devolveremos lo pagado por adelantado del periodo no usado. Imponemos a cada subencargado las mismas obligaciones de protección de datos y seguimos respondiendo de ellos. Stripe trata los datos de facturación como responsable independiente, no como subencargado nuestro de tus datos.

Brainstack funciona con la suscripción propia del cliente con Anthropic (Claude), OpenAI (ChatGPT) o Google (Gemini). El cliente elige y contrata ese proveedor y es responsable de tener las condiciones adecuadas, incluido un contrato de encargo y garantías de transferencia cuando haga falta. Lo mismo vale para los canales y herramientas que conecta el cliente (por ejemplo Slack, Microsoft Teams, Telegram, Discord, Gmail, Outlook, Google Drive, Notion o HubSpot). Solo les transmitimos datos según las instrucciones del cliente al conectarlos y configurar sus agentes. No son subencargados nuestros.

Los servidores de los clientes están en Alemania. Solo transferimos datos personales fuera del Espacio Económico Europeo a los subencargados listados arriba, al amparo de una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para proveedores certificados) o de las cláusulas contractuales tipo (Decisión 2021/914 de la Comisión), con medidas complementarias cuando haga falta.

Teniendo en cuenta la naturaleza del tratamiento, te ayudamos a responder las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición), sobre todo con las funciones de exportar, editar y borrar de Brainstack. Si un interesado nos escribe directamente, te trasladamos la solicitud sin dilación indebida y no la respondemos nosotros salvo que nos lo pidas. También te damos la información que razonablemente necesites para evaluaciones de impacto y consultas previas.

Te avisamos sin dilación indebida, y en todo caso en un plazo de 48 horas, desde que conozcamos una violación de seguridad que afecte a tus datos. El aviso describe, en lo que sepamos en ese momento, la naturaleza de la brecha, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas tomadas o propuestas. Ampliamos la información a medida que la tengamos y te ayudamos a notificar a la autoridad y a los afectados cuando sea obligatorio.

Ponemos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos auditorías, incluidas inspecciones, por ti o por un auditor que designes sujeto a confidencialidad. Las auditorías requieren al menos 30 días de aviso, se hacen en horario laboral, como máximo una vez al año salvo que una brecha o una autoridad exijan otra cosa, y a tu cargo. No tenemos certificaciones SOC 2 ni ISO 27001; a cambio, respondemos cuestionarios de seguridad.

Cuando termina la suscripción tienes 30 días para exportar tus datos. Después borramos los datos personales y el servidor del cliente, salvo que la ley nos obligue a conservar parte, en cuyo caso los mantenemos bloqueados. Las copias que contienen tus datos caducan en 365 días. Si lo pides, te confirmamos el borrado por escrito.

La responsabilidad de cada parte según este contrato está sujeta a los límites de los términos del servicio, salvo donde el artículo 82 del RGPD u otra norma imperativa no permita limitarla. Este contrato se rige por la misma ley y tribunales que los términos del servicio.