Legal · UK GDPR & EU GDPR Art. 28
Acuerdo de tratamiento de datos
Cómo funciona
- Tú (el comerciante) eres el responsable de los datos de tus clientes. Kosmly es tu encargado del tratamiento.
- Aceptas este DPA con un clic al instalar una aplicación de Kosmly. Los clientes Universe pueden firmar una versión personalizada.
- Los datos se quedan en la UE, nunca se usan para entrenar IA y se borran 30 días después de que te vayas.
1. Partes y ámbito
Este acuerdo se celebra entre el comerciante que usa Kosmly («Responsable») y Kosmly Ltd, sociedad registrada en Inglaterra y Gales (n.º [number]), domicilio social [address], IVA [GB number] («Encargado»). Cumple el artículo 28 del UK GDPR y del RGPD, según cuál se aplique al Responsable. Se aplica a todos los datos personales que el Encargado trata por cuenta del Responsable a través del servicio Kosmly y forma parte de los Términos del servicio. Si este DPA y los Términos se contradicen, en materia de protección de datos prevalece este DPA.
2. Detalles del tratamiento
El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de datos y de interesados, se describen en el Anexo I.
3. Obligaciones del Encargado
- Instrucciones. El Encargado trata los datos personales solo siguiendo instrucciones documentadas del Responsable, que son los Términos, este DPA y los ajustes del Responsable en Kosmly. Avisa al Responsable si considera que una instrucción infringe la ley.
- Confidencialidad. Toda persona con acceso está sujeta a confidencialidad y formada en protección de datos y alfabetización en IA.
- Seguridad. El Encargado aplica las medidas del Anexo II (art. 32 RGPD).
- Minimización. Los agentes solo reciben los datos que necesitan. Los nombres, correos y teléfonos se sustituyen por marcadores antes de enviar un texto a un modelo de IA, cuando la tarea lo permite.
- Sin entrenamiento. Los datos personales nunca se usan para entrenar ni mejorar modelos de IA, ni por el Encargado ni por sus subencargados.
- Solicitudes de los interesados. El Encargado ayuda al Responsable a atender solicitudes de acceso, rectificación, supresión o exportación, también mediante los webhooks de privacidad obligatorios de las plataformas.
- Brechas. El Encargado avisa al Responsable sin dilación indebida y, en todo caso, en las 48 horas siguientes a tener conocimiento de una violación de datos personales, con la información que el Responsable necesita para su propia notificación del art. 33.
- Asistencia. El Encargado ayuda al Responsable en las evaluaciones de impacto (art. 35) y en las consultas previas relacionadas con Kosmly.
- Fin del servicio. En los 30 días siguientes al fin del servicio, el Encargado borra todos los datos personales, o los devuelve si se le solicita, salvo que la ley obligue a conservarlos.
- Auditorías. El Encargado facilita la información necesaria para demostrar el cumplimiento y permite una auditoría al año con 30 días de preaviso, o tras una brecha.
4. Subencargados
El Responsable otorga una autorización general para los subencargados del Anexo III. El Encargado impone a cada uno, por contrato, las mismas obligaciones de protección de datos. Anuncia cualquier nuevo subencargado con al menos 30 días de antelación, por correo y en esta página. El Responsable puede oponerse por motivos razonables; si no se encuentra una solución, puede terminar el servicio afectado con un reembolso proporcional.
5. Transferencias internacionales
Los datos personales se guardan y tratan en la UE/EEE. El Encargado tiene su sede en el Reino Unido, que cuenta con una decisión de adecuación de la UE; el acceso remoto de su personal británico se basa en esa decisión. Cualquier otra transferencia se realiza solo con una decisión de adecuación, las Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión) o, para datos británicos, el International Data Transfer Agreement o Addendum, con una evaluación del riesgo de la transferencia y garantías adicionales cuando sea necesario.
6. Responsabilidad
La responsabilidad de cada parte conforme a este DPA está sujeta a los límites de los Términos del servicio, salvo que el artículo 82 del UK GDPR o del RGPD disponga otra cosa.
Anexo I · Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Finalidad | Hacer funcionar los agentes de IA que active el Responsable: contenidos (Vega), SEO (Sirius), traducción (Lyra), precios (Orion) y más adelante imágenes, redes sociales, correo, carritos, atención al cliente, reseñas, inventario, analítica y publicidad. |
| Interesados | Clientes y clientes potenciales del Responsable, visitantes de la tienda que usan el chat de soporte y personal del Responsable. |
| Categorías de datos | Nombre, correo, teléfono, dirección de envío y facturación, historial de pedidos, contenido de reseñas y chats, estado del consentimiento. No se prevén categorías especiales (art. 9). |
| Naturaleza | Almacenamiento, consulta, análisis y generación de textos o imágenes con modelos de IA, según el nivel de autonomía elegido por el Responsable. |
| Duración | Durante la suscripción, más 30 días. |
| Conservación de registros de IA | Los prompts y resultados se conservan 30 días para controles y calidad, y después se borran. El historial de acciones en Mission Control se conserva mientras exista la cuenta. |
Anexo II · Medidas técnicas y organizativas
- Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
- Separación estricta de los datos de cada comerciante, impuesta en la base de datos.
- Acceso por roles, autenticación de dos factores y mínimo privilegio para el personal; los accesos quedan registrados.
- Seudonimización de los datos personales antes de que lleguen a los modelos de IA, cuando la tarea lo permite.
- Copias de seguridad cifradas diarias en la UE, con restauraciones probadas.
- Gestión de vulnerabilidades, control de dependencias y un contacto público de seguridad (security@kosmly.com), conforme al Cyber Resilience Act.
- Procedimiento escrito de respuesta a incidentes y brechas, probado al menos una vez al año.
- Formación del personal en protección de datos y alfabetización en IA (art. 4 del Reglamento de IA).
Anexo III · Subencargados
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Scaleway SAS | Alojamiento de la aplicación, base de datos gestionada, copias de seguridad cifradas | París, Francia |
| Amazon Web Services EMEA SARL (Amazon Bedrock) | Modelos de IA (Anthropic Claude) para textos, SEO y traducciones; sin entrenamiento y sin conservación de prompts por parte del proveedor | Fráncfort, Alemania (UE) |
| Mistral AI SAS | Modelos de IA de reserva cuando el principal no está disponible; sin entrenamiento | Francia (UE) |
| Sendinblue SAS (Brevo) | Correos al personal del Responsable; más adelante, correos que Comet y Halley envían por cuenta del Responsable | Francia (UE) |
Las solicitudes de soporte se gestionan dentro de Kosmly, en la infraestructura indicada arriba. Antes del lanzamiento de Nova se añadirá aquí un proveedor de modelos de imagen, con 30 días de preaviso.
Contacto para este acuerdo: privacy@kosmly.com.