Acuerdo de encargo de tratamiento (DPA)

Este Acuerdo de encargo de tratamiento ("DPA") forma parte de los Términos del servicio de AMAI Web Builder y cumple el artículo 28 del Reglamento (UE) 2016/679 ("RGPD"). Se aplica automáticamente cuando el Cliente contrata Builder, sin necesidad de firma adicional. Si el Cliente necesita una copia firmada, puede solicitarla en legal@amai.run.

1. Partes y funciones

• Responsable del tratamiento: el Cliente, que decide los fines y medios del tratamiento de los datos personales incluidos en su Contenido.
• Encargado del tratamiento: AMAI SOLUTIONS LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, USA, EIN 42-1910767.

AMAI actúa como responsable independiente, y no como encargado, respecto de los datos de la cuenta, la facturación, la seguridad de la plataforma y el cumplimiento de sus obligaciones legales, según la Política de privacidad.

2. Objeto, duración, naturaleza y finalidad

• Objeto y finalidad: prestar Builder: generar, editar, almacenar, alojar y publicar los sitios web del Cliente, recibir y almacenar los envíos de sus formularios, alojar sus buzones de correo corporativo y registrar sus dominios.
• Naturaleza: recogida, almacenamiento, organización, consulta, transformación mediante IA, transmisión, publicación y supresión.
• Duración: la vigencia de los Términos y el periodo posterior necesario para la devolución y supresión previstas en la cláusula 11.

3. Interesados y categorías de datos

• Interesados: personal, colaboradores y clientes del Cliente que aparezcan en su web; visitantes de la web que envían formularios; remitentes y destinatarios de los correos de sus buzones; titulares de dominios.
• Datos: identificación y contacto, imágenes, textos y testimonios, contenido de formularios y dirección IP del remitente, contenido y metadatos de correos electrónicos, datos de titular de dominios.
• Categorías especiales: el servicio no está diseñado para tratarlas. El Cliente no las incluirá salvo que disponga de base jurídica y adopte las garantías necesarias.

4. Instrucciones

AMAI tratará los datos personales solo siguiendo las instrucciones documentadas del Cliente, que son estos Términos y el DPA, y las acciones que el Cliente realiza en el panel y el editor. Si AMAI considera que una instrucción infringe el RGPD u otra norma, lo comunicará al Cliente. AMAI no venderá los datos, no los usará para fines propios ni para entrenar modelos de IA. Si el Derecho de la Unión o de un Estado miembro obligara a AMAI a tratarlos de otro modo, informará al Cliente antes, salvo que la ley lo prohíba.

5. Confidencialidad

Las personas autorizadas por AMAI para tratar los datos están sujetas a un deber de confidencialidad.

6. Medidas de seguridad

AMAI aplica, teniendo en cuenta el estado de la técnica, los costes y los riesgos del tratamiento, las siguientes medidas:

• Cifrado en tránsito mediante HTTPS/TLS en la aplicación y en las webs publicadas.
• Autenticación individual por usuario y control de acceso que limita cada proyecto a su titular.
• Almacenamiento privado de los archivos de proyecto; acceso a la base de datos con privilegios de servicio solo desde el servidor.
• Validación de tipo y tamaño de los archivos subidos y limitación de envíos de formularios por dirección IP.
• Credenciales de servicio guardadas fuera del código fuente.
• Control de versiones del código y trazabilidad de los despliegues en producción.
• Notificación al Cliente de las violaciones de seguridad conforme a la cláusula 9.

Los archivos subidos para su uso en la web y los enlaces de vista previa compartidos son accesibles mediante URL públicas; el Cliente no debe incluir en ellos datos que no deban ser públicos.

7. Subencargados

El Cliente autoriza de forma general a AMAI a recurrir a los siguientes subencargados:

AMAI impondrá a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA y seguirá siendo responsable frente al Cliente de su cumplimiento. Antes de añadir o sustituir un subencargado, AMAI publicará la lista actualizada en esta página con una nueva fecha de versión y lo comunicará al correo de la cuenta del Cliente con al menos 15 días de antelación. El Cliente puede oponerse por motivos razonables de protección de datos escribiendo a legal@amai.run; si no se alcanza una solución, podrá resolver el contrato y recibir el reembolso de la parte no disfrutada del periodo pagado.

8. Transferencias internacionales

AMAI SOLUTIONS LLC está constituida en Estados Unidos. Las transferencias de datos fuera del Espacio Económico Europeo se realizan conforme al Capítulo V del RGPD, mediante el EU-U.S. Data Privacy Framework y/o Cláusulas Contractuales Tipo, según el proveedor, con las medidas adicionales que resulten necesarias. En la medida en que el Cliente esté en el EEE y se requieran Cláusulas Contractuales Tipo entre el Cliente y AMAI, se incorporan por referencia las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, módulo 2 (responsable a encargado), con este DPA como anexo descriptivo.

9. Violaciones de seguridad

AMAI notificará al Cliente sin dilación indebida desde que tenga conocimiento de una violación de la seguridad que afecte a datos personales tratados por su cuenta, con la información disponible sobre su naturaleza, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto, y la completará a medida que disponga de más información. La notificación no supone reconocimiento de responsabilidad.

10. Asistencia al Cliente

AMAI ayudará razonablemente al Cliente a atender las solicitudes de ejercicio de derechos de los interesados, a realizar evaluaciones de impacto y consultas previas y a cumplir sus obligaciones de seguridad, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga. Si un interesado se dirige a AMAI respecto de datos del Cliente, AMAI le remitirá la solicitud al Cliente.

11. Devolución y supresión

El Cliente puede descargar en cualquier momento los archivos de sus webs en ZIP desde el panel y eliminar sus buzones de correo. Al terminar el contrato, y a elección del Cliente, AMAI devolverá los datos personales o los suprimirá, junto con las copias existentes, tras el periodo de exportación indicado en la cláusula 22 de los Términos, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. El Cliente puede solicitar la devolución o la supresión en legal@amai.run.

12. Información y auditorías

AMAI pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a auditorías proporcionadas, realizadas por el Cliente o por un auditor independiente sujeto a confidencialidad, con aviso previo razonable. Primero se utilizarán cuestionarios, documentación y evidencias remotas. Las auditorías no darán acceso a datos de otros clientes ni a información que ponga en riesgo la seguridad del servicio.

13. Responsabilidad y prevalencia

La responsabilidad se rige por los Términos, sin limitar las obligaciones que la ley no permita limitar. En materia de tratamiento por cuenta del Cliente prevalecen, por este orden: las Cláusulas Contractuales Tipo cuando sean aplicables, este DPA, los Términos y la demás documentación.