Este Acuerdo de Tratamiento de Datos ("DPA") complementa los Términos y condiciones de ARIA y se aplica siempre que ARIA trata datos personales en tu nombre (en nombre del negocio cliente) conforme al Art. 28 del RGPD.
1. Roles
Tú (el negocio cliente) eres el responsable del tratamiento de los datos de tus clientes que interactúan con ARIA. Nosotros (Annapolis Tour S.R.L., que opera el servicio ARIA) somos el encargado del tratamiento, que trata esos datos únicamente conforme a tus instrucciones y a estos términos.
2. Finalidad del tratamiento
Tratamos datos personales exclusivamente para prestarte el servicio ARIA: recibir los mensajes de tus clientes, responder en tu nombre, mantener el contexto de las conversaciones, escalar los casos sensibles a tu equipo y facilitarte informes agregados de uso.
3. Categorías de datos
Tratamos las siguientes categorías de datos personales de tus clientes:
| Categoría | Ejemplos |
|---|---|
| Datos de identificación | Apellidos, nombre (si se facilitan) |
| Datos de contacto | Número de teléfono, correo electrónico |
| Contenido de las conversaciones | Mensajes de texto, transcripciones de voz, archivos adjuntos |
| Metadatos | Hora del mensaje, canal, idioma detectado |
| Contexto transaccional | Detalles específicos de tu negocio (reservas, citas, etc.) |
4. Duración del tratamiento
La duración del tratamiento es la misma que la duración de tu contrato con nosotros. A su finalización, los datos se eliminan de nuestros sistemas en un plazo máximo de 30 días, o se te devuelven en un formato estándar, según lo que pidas.
5. Subencargados
Usamos los siguientes subencargados. La lista puede actualizarse con un preaviso de 14 días.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Contabo GmbH | Alojamiento (servidores, infraestructura) | Lauterbourg, Francia (UE) |
| Mistral AI SAS | Modelo de lenguaje (tratamiento de los mensajes), a través de un proxy con opt-out de retención | Francia (UE) |
| Soniox Inc. | Transcripción de la voz a texto, en las llamadas telefónicas | Punto de acceso europeo (UE) |
| ElevenLabs Inc. | Síntesis de la voz de ARIA, en las llamadas telefónicas | EE. UU. (SCCs) |
| Telnyx LLC | Transporte de las llamadas telefónicas (números y conectividad) | EE. UU. (SCCs) |
| Meta Platforms Ireland Ltd. | Conectividad de WhatsApp (el canal de mensajería) | Irlanda (UE) / EE. UU. (SCCs) |
Todos los subencargados están cubiertos por contratos con cláusulas contractuales tipo (SCCs) allí donde estas resultan aplicables.
6. Medidas de seguridad
Aplicamos las medidas técnicas y organizativas descritas en la página de Seguridad: cifrado TLS 1.3 en tránsito, AES-256 en reposo, acceso controlado a los sistemas de producción, autenticación por hardware, auditoría semanal.
7. Asistencia que te prestamos
Te ayudamos a responder a las solicitudes de tus clientes que ejercen sus derechos conforme al RGPD. Si un cliente te pide la supresión o la exportación de sus datos, podemos hacerlo en un plazo máximo de 5 días laborables desde tu solicitud.
8. Notificación de incidentes
Te notificamos cualquier brecha de seguridad que afecte a tus datos en un plazo máximo de 72 horas desde el momento en que la detectamos, conforme al Art. 33 del RGPD.
9. Auditoría
Previa solicitud por escrito con 30 días de antelación, te permitimos (o a un auditor externo acreditado) auditar nuestras prácticas de tratamiento de datos. Los costes de la auditoría corren a tu cargo, salvo que la auditoría descubra problemas sustanciales.
10. Transferencia de datos fuera de la UE
Tus datos no se transfieren fuera de la UE para su almacenamiento; el alojamiento y el procesamiento lingüístico (Mistral AI) tienen lugar en la Unión Europea, al igual que la transcripción de la voz (Soniox, en su punto de acceso europeo). Para la síntesis de voz (ElevenLabs), para el transporte de las llamadas telefónicas (Telnyx) y para la conectividad de WhatsApp, determinados proveedores pueden tratar datos también en EE. UU., amparados por cláusulas contractuales tipo (SCCs). La telefonía no se activa para un negocio salvo que ese negocio lo pida, así que, si no usas llamadas telefónicas, no se aplican las transferencias relacionadas con la voz.
11. Cambios
Los cambios en este DPA se aplican mediante notificación con al menos 30 días de antelación. La versión vigente está fechada en la parte superior de la página.
12. Contacto
Para cualquier pregunta relacionada con el tratamiento de datos: [email protected].
Traducción
Esta página es una traducción al español del original en rumano. En caso de discrepancia entre las dos versiones, prevalece la versión rumana disponible en ariaknows.com/dpa.