ACUERDO DE TRATAMIENTO DE DATOS (DPA)

celebrado el [**] (en lo sucesivo, el “Acuerdo”)

entre:

[Nombre del cliente], una [tipo de entidad] constituida con arreglo a la legislación de [jurisdicción], con domicilio social en [Dirección], NIF/CIF: [número], representada por: [Nombre] – [Cargo], en lo sucesivo denominada la “Responsable del tratamiento”,

y

Brand24 Global Inc., una sociedad constituida en Delaware con domicilio social en 121 Executive Circle, Daytona Beach, FL 32114, EE. UU., representada por: [Nombre] – [Cargo], en lo sucesivo denominada la “Procesador”,

(En lo sucesivo, se denominará a las partes colectivamente “las Partes”)

Teniendo en cuenta que el responsable del tratamiento y el encargado del tratamiento son partes de un contrato de prestación de servicios (por ejemplo, las Condiciones de servicio de los servicios Brand24, Chatbeat o Insights24), en lo sucesivo denominado el “Acuerdo principal”, cuya ejecución requiere el tratamiento de datos personales por parte del encargado del tratamiento, las partes celebran por la presente el presente acuerdo de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y demás legislación aplicable en materia de protección de datos.

§ 1. Objeto

  1. El responsable del tratamiento encarga al encargado del tratamiento el tratamiento de datos personales, de conformidad con el artículo 28 del RGPD, en los términos y para los fines especificados en el presente acuerdo.
  2. El Encargado del tratamiento se compromete a tratar los datos personales que se le hayan confiado de conformidad con el presente Acuerdo, el RGPD y demás legislación aplicable en materia de protección de datos que proteja los derechos de los interesados. 
  3. El presente Acuerdo se aplica a todo el tratamiento de datos personales realizado por el Encargado del tratamiento en relación con los servicios prestados en virtud del Acuerdo principal, incluidos, entre otros, los servicios Brand24 (brand24.com), Chatbeat (chatbeat.com) e Insights24 (insights24.com).

§ 2. Finalidad, naturaleza, alcance y duración del tratamiento

  1. Objetivo: El tratamiento de datos se lleva a cabo con el único fin de cumplir con el Contrato Principal (prestación de servicios SaaS de monitorización, análisis y/o servicios basados en inteligencia artificial al responsable del tratamiento).
  2. Naturaleza: El tratamiento es continuo, automatizado y se lleva a cabo en los sistemas informáticos del encargado del tratamiento y de sus subencargados (recogida, registro, organización, almacenamiento, recuperación, análisis y supresión).
  3. Ámbito de aplicación (tipos de datos): El Acuerdo abarca los datos personales necesarios para prestar el servicio, tales como: nombres, datos de contacto, imágenes que formen parte de fotos de perfil de acceso público y otros datos disponibles públicamente en Internet y en las redes sociales.
  4. Categorías de interesados: Los datos se refieren a los clientes, empleados o contratistas del responsable del tratamiento, así como a personas cuyos datos se supervisan en el marco del servicio (personalidades públicas, usuarios de redes sociales).
  5. Duración: El presente Acuerdo se celebra por la misma duración que el Acuerdo principal.

§ 2a. Obligaciones del responsable del tratamiento

  1. El responsable del tratamiento declara que está autorizado para encargar el tratamiento de los datos personales objeto del presente Acuerdo y que dicho tratamiento se lleva a cabo de conformidad con la legislación aplicable.
  2. El responsable del tratamiento se compromete a:

a) dar únicamente instrucciones lícitas al encargado del tratamiento en relación con el tratamiento de datos personales;

b) informar sin demora al encargado del tratamiento de cualquier circunstancia que pueda afectar al tratamiento de los datos;

c) cooperar con el encargado del tratamiento en el cumplimiento de las obligaciones relacionadas con los derechos de los interesados;

d) cumplir puntualmente con las obligaciones de pago derivadas del contrato principal.

  1. El responsable del tratamiento es el único responsable de la licitud de los fines y los medios del tratamiento de datos personales, tal y como se definen en las instrucciones facilitadas al encargado del tratamiento.

§ 2b. Tratamiento de datos en el marco de los servicios de inteligencia artificial

  1. En el marco de la prestación del servicio previsto en el Contrato Principal, el Encargado del tratamiento podrá utilizar tecnologías de inteligencia artificial y aprendizaje automático (“Servicios de IA“) de conformidad con las Condiciones de inteligencia artificial Brand24, disponibles en https://brand24.com/legal/ai-terms/.
  2. Los datos personales tratados en el marco de los Servicios de IA están sujetos a todas las obligaciones en materia de protección de datos establecidas en el presente Acuerdo.
  3. El encargado del tratamiento no utiliza los datos personales que se le han confiado para entrenar, desarrollar o mejorar modelos públicos de inteligencia artificial de terceros. Los datos personales del responsable del tratamiento no se comparten con proveedores de servicios de inteligencia artificial de terceros con el fin de entrenar sus modelos.
  4. En el marco de la prestación de los servicios de IA, los datos personales podrán transmitirse a terceros proveedores de servicios de IA (en calidad de subencargados del tratamiento) para su tratamiento. Dichos proveedores están sujetos a las disposiciones sobre subencargados del tratamiento establecidas en el artículo 4 del presente Acuerdo y figuran en el registro de subencargados del tratamiento al que se hace referencia en el artículo 4, apartado 2.
  5. Algunos servicios de inteligencia artificial, como el análisis temático, pueden utilizar datos supervisados dentro del servicio para crear y actualizar modelos específicos para el proyecto del responsable del tratamiento. Dichos modelos específicos del proyecto están aislados dentro de la cuenta del responsable del tratamiento y no se comparten con otros clientes del encargado del tratamiento ni son accesibles para ellos.
  6. Todos los datos específicos de cada cuenta que se tratan en los Servicios de IA —incluidas las conversaciones asistidas por IA, los informes y las consultas— están totalmente aislados y no son accesibles para otros clientes del Encargado del tratamiento.

§ 3. Obligaciones del encargado del tratamiento

El encargado del tratamiento se compromete a:

  1. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del responsable del tratamiento; dichas instrucciones incluyen el presente Acuerdo, la configuración de la cuenta dentro del servicio, el uso de las funcionalidades disponibles en el servicio de conformidad con su documentación y sus condiciones de servicio, así como cualquier instrucción por escrito facilitada por el responsable del tratamiento.
  2. Asegúrese de que las personas autorizadas a tratar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.
  3. Aplicar las medidas técnicas y organizativas adecuadas, tal y como exige el artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo.
  4. En el anexo 1 del presente Acuerdo figura una descripción detallada de las medidas técnicas y organizativas aplicadas.
  5. Respete las condiciones para contratar a otro encargado del tratamiento (subcontratación) a las que se hace referencia en el artículo 4 del presente Acuerdo.
  6. Teniendo en cuenta la naturaleza del tratamiento, colaborar con el responsable del tratamiento mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos del interesado (por ejemplo, el derecho de acceso o el derecho al olvido).
  7. Colaborar con el responsable del tratamiento para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de seguridad, evaluación de impacto relativa a la protección de datos), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone el encargado del tratamiento.
  8. Informará inmediatamente al responsable del tratamiento si, en opinión del encargado del tratamiento, una instrucción incumple el RGPD u otras disposiciones aplicables en materia de protección de datos. En tal caso, el encargado del tratamiento tendrá derecho a suspender la ejecución de la instrucción objeto de controversia hasta que el responsable del tratamiento la confirme o la modifique.
  9. A elección del responsable del tratamiento, se eliminarán o se devolverán todos los datos personales al responsable del tratamiento una vez finalizada la prestación de los servicios relacionados con el tratamiento, y se eliminarán las copias existentes, salvo que la legislación aplicable exija el almacenamiento de los datos personales.

§ 4. Subcontratación del tratamiento de datos

  1. El responsable del tratamiento concede al encargado del tratamiento autorización general para que este recurra a otros encargados del tratamiento (subencargados del tratamiento) en la medida en que sea necesario para el cumplimiento del contrato principal.
  2. La lista actual de subencargados del tratamiento está disponible en https://brand24.com/legal/sub-processors/ .
  3. Brand24 S.A. (ul. Powstańców Śląskich 9, 53-332 Wrocław, Polonia, KRS: 0000395367) es el subencargado del tratamiento principal del encargado del tratamiento. Brand24 S.A. proporciona la infraestructura básica, las operaciones técnicas, el almacenamiento de datos, el desarrollo y los servicios de asistencia necesarios para la prestación de los servicios previstos en el Contrato Principal. Brand24 S.A. trata datos personales por cuenta del Encargado del tratamiento de conformidad con un acuerdo de tratamiento de datos intragrupo independiente y está sujeta a obligaciones de protección de datos que no son menos estrictas que las establecidas en el presente Acuerdo.
  1. El encargado del tratamiento deberá informar al responsable del tratamiento de cualquier intención de incorporar o sustituir a subencargados del tratamiento con una antelación mínima de 14 días antes de que se produzca el cambio previsto, enviando la información a la dirección de correo electrónico indicada en la cuenta.
  2. El responsable del tratamiento podrá presentar una objeción motivada respecto al nuevo subencargado del tratamiento en un plazo de 14 días de recibir la información. La objeción debe presentarse por escrito o en formato documental (correo electrónico) y debe incluir una justificación basada en motivos objetivos relacionados con la protección de datos.
  3. En caso de objeción, las Partes negociarán de buena fe para encontrar una solución satisfactoria para ambas. Si las Partes no llegan a un acuerdo en un plazo de 30 días En caso de objeción, el Responsable podrá rescindir el Contrato Principal con un preaviso de 30 días sin incurrir en ninguna penalización contractual.
  4. Si no se formula ninguna objeción dentro del plazo establecido en el apartado 5, se considerará que se ha aceptado al nuevo subencargado del tratamiento.
  5. El Encargado del tratamiento se asegurará de que cada subencargado del tratamiento esté sujeto a un contrato que le imponga las mismas obligaciones en materia de protección de datos que las establecidas en el presente Acuerdo, en particular la obligación de aplicar las medidas técnicas y organizativas adecuadas.
  6. El encargado del tratamiento seguirá siendo plenamente responsable ante el responsable del tratamiento del cumplimiento de las obligaciones del subencargado del tratamiento, como si se tratara de actos y omisiones propios del encargado del tratamiento.

§ 5. Transferencias de datos fuera del EEE

  1. Los datos personales confiados en virtud del presente Acuerdo podrán ser tratados tanto dentro como fuera del Espacio Económico Europeo (EEE).
  2. El subencargado del tratamiento principal del Encargado del tratamiento, Brand24 S.A., almacena y trata los datos principalmente dentro del EEE (Polonia).
  3. El encargado del tratamiento está constituido en Estados Unidos. En la medida en que se transfieran datos personales a Estados Unidos o se acceda a ellos desde dicho país, dichas transferencias se llevarán a cabo sobre la base de mecanismos jurídicos adecuados, entre los que se incluyen:

a) una decisión de adecuación de la Comisión Europea (por ejemplo, en virtud de la Marco de protección de datos entre la UE y EE. UU.), en los que el encargado del tratamiento o sus subencargados del tratamiento sean participantes certificados; o

b) las cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea con arreglo al artículo 46, apartado 2, letra c), del RGPD; o

c) otras garantías adecuadas, según lo permitido en el capítulo V del RGPD.

  1. En relación con la prestación de los servicios de IA a que se refiere el artículo 2b, los datos personales podrán transferirse a terceros proveedores de servicios de IA ubicados fuera del EEE, incluidos los Estados Unidos. Dichos proveedores figuran en el registro de subencargados del tratamiento a que se refiere el artículo 4, apartado 2, y están sujetos a los mecanismos de transferencia adecuados especificados en el apartado 3 anterior.
  2. En caso de que una decisión de adecuación u otro mecanismo de transferencia en el que se haya basado sea invalidado por un tribunal competente o una autoridad de supervisión, el encargado del tratamiento deberá aplicar sin demora mecanismos de transferencia alternativos, tal y como exija la legislación aplicable.
  3. Previa solicitud, el encargado del tratamiento facilitará al responsable del tratamiento información sobre los mecanismos de transferencia específicos aplicados a una transferencia de datos concreta.

§ 6. Representante de la UE

  1. Brand24 Global Inc. ha designado Brand24 S.A. (ul. Powstańców Śląskich 9, 53-332 Wrocław, Polonia) como su representante en la Unión Europea, de conformidad con el artículo 27 del RGPD.
  2. Los interesados y las autoridades de control pueden ponerse en contacto con Brand24 S.A. para cualquier cuestión relacionada con el tratamiento de datos personales por parte de Brand24 Global Inc.
  3. Datos de contacto: Delegado de Protección de Datos de Brand24 S.A., correo electrónico: dpo@brand24.com.

§ 7. Derechos de auditoría

  1. El responsable del tratamiento tiene derecho a comprobar el cumplimiento del presente acuerdo.
  2. El responsable del tratamiento podrá ejercer su derecho de auditoría solicitando al encargado del tratamiento que le facilite documentación que acredite el cumplimiento del RGPD (por ejemplo, certificados de seguridad, informes de auditoría independientes, informes SOC 2 o equivalentes).
  3. En los casos justificados en los que la documentación a la que se hace referencia en el apartado 2 resulte insuficiente, el responsable del tratamiento podrá llevar a cabo una auditoría en las instalaciones del encargado del tratamiento o en las de su subencargado principal (Brand24 S.A.). Dicha auditoría deberá notificarse con al menos 14 días de antelación, realizarse en horario laboral y no debe perturbar las operaciones comerciales.
  4. Los costes de la auditoría, incluida la remuneración de los auditores, correrán exclusivamente a cargo del responsable del tratamiento. Además, el encargado del tratamiento se reserva el derecho a cobrar una tarifa por la asistencia prestada por su personal (o por el personal de Brand24 S.A.) durante la auditoría, basándose en tarifas horarias estándar, de las que el Encargado informará al Responsable antes del inicio de la auditoría, salvo que la auditoría revele una infracción de la protección de datos imputable al Encargado.
  5. Las auditorías se limitarán a una (1) por cada período de doce (12) meses, salvo que así lo exija una autoridad de control o en caso de que se confirme una violación de la seguridad de los datos personales.

§ 8. Violaciones de la seguridad de los datos personales

  1. El encargado del tratamiento deberá notificarlo al responsable del tratamiento sin demora injustificada y, a más tardar, en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales.
  2. La notificación deberá incluir, como mínimo:
    • una descripción de la naturaleza de la violación de seguridad, incluyendo, en la medida de lo posible, las categorías y el número aproximado de los interesados afectados, así como las categorías y el número aproximado de registros de datos personales afectados;
    • el nombre y los datos de contacto de la persona designada como punto de contacto en relación con la violación de datos;
    • una descripción de las posibles consecuencias de la violación;
    • una descripción de las medidas adoptadas o propuestas para hacer frente a la infracción, incluidas, cuando proceda, las medidas destinadas a mitigar sus posibles efectos negativos.
  3. Cuando no sea posible facilitar la información de una sola vez, el encargado del tratamiento deberá facilitarla por fases sin demoras indebidas.
  4. El encargado del tratamiento se compromete a cooperar plenamente con el responsable del tratamiento para subsanar la infracción, lo que incluye la aplicación de las medidas correctoras indicadas por este último.
  5. El encargado del tratamiento no está autorizado a notificar por su cuenta la violación de la seguridad de los datos personales a la autoridad de control ni a los interesados; esta obligación recae exclusivamente en el responsable del tratamiento, salvo que la legislación imperativa disponga lo contrario.
  6. El encargado del tratamiento se compromete a documentar todas las violaciones de datos personales, incluidas las circunstancias de la violación, sus efectos y las medidas correctoras adoptadas, y a poner dicha documentación a disposición del responsable del tratamiento cuando este lo solicite.

§ 9. Responsabilidad

  1. El encargado del tratamiento será responsable de los daños causados por el tratamiento únicamente cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados del tratamiento o cuando haya actuado al margen de las instrucciones legítimas del responsable del tratamiento o en contra de ellas.
  2. Sin perjuicio de lo dispuesto en el apartado 1, las Partes excluyen la responsabilidad del encargado del tratamiento por lucro cesante (lucrum cessans).
  3. Limitación de responsabilidad: La responsabilidad total acumulada del Encargado del tratamiento frente al Responsable del tratamiento por cualquier incumplimiento o cumplimiento defectuoso del presente Acuerdo, así como por actos ilícitos, se limitará a una cantidad equivalente a 6 veces la remuneración neta media mensual pagaderos al Encargado del tratamiento en virtud del Acuerdo principal (calculados sobre la base de los últimos 12 meses de colaboración).
  4. La limitación a la que se refiere el apartado 3 no se aplica a los casos en los que la responsabilidad no pueda limitarse en virtud de disposiciones legales imperativas (por ejemplo, en caso de dolo).
  5. Las limitaciones de responsabilidad establecidas en la presente sección no se aplicarán a los daños y perjuicios:

a) que se deriven de una conducta dolosa o de una negligencia grave por parte del encargado del tratamiento;

b) derivados del incumplimiento de las obligaciones de confidencialidad;

c) que se deriven del tratamiento de datos personales contrario a las instrucciones documentadas del responsable del tratamiento;

d) en la medida en que la exclusión o limitación de responsabilidad no esté permitida por la legislación imperativa.

  1. El Encargado del tratamiento no se hará responsable de los daños y perjuicios derivados de:

a) los actos u omisiones del responsable del tratamiento, incluida la emisión de instrucciones ilegales;

b) el tratamiento de datos de conformidad con las instrucciones documentadas del responsable del tratamiento que resultaran ilícitas, siempre que el encargado del tratamiento hubiera informado previamente al responsable de sus dudas;

c) actos de terceros de los que el encargado del tratamiento no sea responsable;

d) fuerza mayor.

§ 10. Legislación aplicable y resolución de litigios

  1. Legislación aplicable. El presente Acuerdo se regirá e interpretará de conformidad con la legislación del Estado de Delaware (EE. UU.), sin tener en cuenta sus principios sobre conflicto de leyes; sin embargo, el tratamiento de los datos personales deberá cumplir en todo momento con el RGPD y demás leyes aplicables en materia de protección de datos, las cuales prevalecerán sobre la legislación aplicable al presente Acuerdo en caso de conflicto.
  2. Resolución de litigios. Cualquier litigio, controversia o reclamación que surja de este Acuerdo o esté relacionada con él se resolverá, a elección de la parte que inicie el litigio, mediante:

a) Litigios: la jurisdicción exclusiva de los tribunales estatales y federales con sede en Nueva York, Nueva York, EE. UU. Cada una de las partes acepta de forma irrevocable la jurisdicción de dichos tribunales y renuncia a cualquier objeción respecto a la competencia territorial de los mismos; o

b) Arbitraje: arbitraje vinculante administrado por la Asociación Americana de Arbitraje (“AAA“) de conformidad con su Reglamento de Arbitraje Comercial. El arbitraje se llevará a cabo en Nueva York, Nueva York (EE. UU.), ante un árbitro único. El idioma del arbitraje será el inglés. La decisión del árbitro será definitiva y vinculante, y el laudo podrá ser ejecutado ante cualquier tribunal competente.

  1. Conflictos en materia de protección de datos. No obstante lo anterior, cualquier controversia que se refiera exclusivamente al cumplimiento del RGPD o a los derechos de los interesados también podrá someterse a los tribunales competentes o a las autoridades de control de la Unión Europea, tal y como establece el RGPD.
  2. Medidas cautelares. Ninguna disposición de la presente sección impedirá a ninguna de las Partes solicitar medidas cautelares u otras medidas equitativas ante cualquier tribunal competente para impedir la infracción, la apropiación indebida o el incumplimiento, reales o inminentes, de las obligaciones en materia de protección de datos.

§ 11. Disposiciones varias

  1. El presente Acuerdo podrá formalizarse en varios ejemplares, incluso en formato electrónico o documental mediante una firma electrónica (por ejemplo, DocuSign o una firma electrónica cualificada), cada uno de los cuales se considerará un original.
  2. El presente Acuerdo entrará en vigor en la fecha de su firma por ambas Partes y permanecerá vigente durante toda la vigencia del Acuerdo Principal. Se rescindirá automáticamente tras la rescisión o el vencimiento del Acuerdo Principal, si bien las obligaciones relativas a la confidencialidad, la supresión o devolución de datos y la responsabilidad seguirán vigentes.
  3. Cualquier modificación del presente Acuerdo deberá realizarse por escrito o mediante un documento (correo electrónico con confirmación) firmado por los representantes autorizados de ambas Partes.
  4. En caso de conflicto entre las disposiciones del presente Acuerdo y las del Acuerdo Principal, prevalecerán las disposiciones del presente Acuerdo en lo que respecta a la protección de datos personales.
  5. Si alguna de las disposiciones del presente Acuerdo se considerara inválida o inaplicable, las demás disposiciones seguirán en pleno vigor y efecto, y la disposición inválida se modificará en la medida mínima necesaria para que resulte aplicable.
  6. Ninguna de las Partes podrá ceder el presente Acuerdo sin el consentimiento previo por escrito de la otra Parte, salvo a una empresa asociada o en el marco de una fusión, adquisición o venta de la práctica totalidad de los activos, siempre que el cesionario acepte por escrito quedar vinculado por el presente Acuerdo.

FIRMAS:

En nombre del interventor:En nombre del encargado del tratamiento:
Fecha:Fecha:
Nombre:Nombre:
Título:Título:
Firma:Firma:

Anexo 1 del ACUERDO DE TRATAMIENTO DE DATOS

Medidas técnicas y organizativas (TOM)

aplicadas por Brand24 Global Inc. y su principal subencargado del tratamiento, Brand24 S.A., para garantizar la seguridad de los datos personales

De conformidad con el artículo 32 del Reglamento (UE) 2016/679 (RGPD), el encargado del tratamiento declara que ha implementado y mantiene, incluso a través de su subencargado principal Brand24 S.A., las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo de violación de los derechos y libertades de las personas físicas. Estas medidas incluyen, en particular:

1. Medidas de confidencialidad

a) Control de acceso físico:

  • Las oficinas de Brand24 S.A. (subencargado del tratamiento principal responsable de la infraestructura y las operaciones) se encuentran en edificios que cuentan con protección física las 24 horas del día y un sistema de videovigilancia (CCTV).
  • El acceso a las instalaciones de la oficina se controla mediante sistemas de control de acceso (tarjetas de proximidad o códigos) y llaves físicas que se entregan únicamente a los empleados autorizados, de conformidad con la política interna sobre llaves.
  • Las zonas críticas (por ejemplo, salas de servidores, armarios con documentación) cuentan con medidas de seguridad adicionales y solo el personal autorizado tiene acceso a ellas.

b) Control del acceso a los sistemas:

  • El acceso a los sistemas informáticos está protegido mediante identificadores únicos (nombres de usuario) y contraseñas.
  • Se ha establecido una política de contraseñas segura, que exige un nivel adecuado de complejidad y cambios periódicos.
  • Existen procedimientos para conceder y retirar derechos de acceso en caso de incorporación o cese en el empleo (“proceso de incorporación/baja”).

c) Seguridad de la red y de los equipos:

  • La transmisión de datos en redes públicas se cifra mediante protocolos estándar (por ejemplo, SSL/TLS, VPN).
  • En las estaciones de trabajo se utilizan programas de seguridad (cortafuegos) y antivirus.
  • Se han implantado los procedimientos “Clean Desk” y “Clean Screen” (bloqueo automático de los puestos de trabajo).

2. Medidas de integridad

  • Los datos están protegidos frente a modificaciones no autorizadas gracias al sistema de permisos de usuario: solo las personas cuyo puesto lo requiera tienen acceso para editarlos.
  • Se utilizan mecanismos para identificar a las personas que introducen datos o realizan modificaciones en ellos (registros del sistema).

3. Medidas de disponibilidad y resiliencia

  • Se realizan copias de seguridad periódicas de los datos clave para garantizar que puedan recuperarse en caso de que se produzca un incidente físico o técnico.
  • Las infraestructuras críticas están equipadas con sistemas de alimentación ininterrumpida (SAI).
  • El software y los sistemas operativos se actualizan periódicamente para eliminar las vulnerabilidades.

4. Pruebas y evaluaciones periódicas

  • Se llevan a cabo auditorías internas periódicas y revisiones de las medidas de seguridad vigentes.
  • Se lleva a cabo un análisis de riesgos de los procesos de tratamiento de datos personales.

5. Medidas organizativas

  • Delegado de Protección de Datos (DPO): Se ha nombrado a un delegado de protección de datos en Brand24 S.A. para supervisar el cumplimiento de los procesos con el RGPD. Contacto: dpo@brand24.com.
  • Representante de la UE: Brand24 S.A. actúa como representante designado de Brand24 Global Inc. en la Unión Europea, de conformidad con el artículo 27 del RGPD.
  • Políticas y procedimientos: Se ha implantado una documentación exhaustiva sobre protección de datos, que incluye la Política de Protección de Datos, el procedimiento de gestión de incidentes y los procedimientos de conservación de datos.
  • Personal: Todos los empleados y colaboradores están obligados a mantener la confidencialidad y reciben formación periódica en materia de protección de datos personales y seguridad de la información.
  • Subcontratistas: El encargado del tratamiento y su subencargado principal verifican a los encargados del tratamiento posteriores y celebran con ellos los acuerdos de tratamiento de datos pertinentes.

6. Medidas de seguridad de los servicios de IA

  • Los datos tratados en los servicios de IA se transmiten a proveedores externos exclusivamente a través de conexiones cifradas (API sobre HTTPS/TLS).
  • Los proveedores externos de servicios de IA están obligados contractualmente a no conservar los datos del responsable del tratamiento una vez tramitada la solicitud (el proveedor no conservará los datos de entrada ni de salida, salvo el almacenamiento temporal necesario para atender la solicitud).
  • Los datos específicos de cada cuenta que procesan los servicios de IA (conversaciones, informes, consultas) están aislados lógicamente de los datos de otros clientes.
  • Se utilizan mecanismos de supervisión de los modelos de IA (seguimiento de errores, métricas de rendimiento y supervisión del comportamiento de los modelos) para garantizar la calidad y la seguridad del procesamiento.
  • Se mantienen mecanismos de respaldo que permiten cambiar a otros proveedores de IA en caso de que se produzca una interrupción del servicio del proveedor principal.