Acuerdo de encargo del tratamiento (DPA)

Este acuerdo de encargo del tratamiento se aplica entre usted, como cliente (responsable del tratamiento), y Ad Vitam Invest AB (ProfitLens Consulting) (encargado del tratamiento), y resulta aplicable cuando comienza a utilizar el servicio. No se requiere firma; las condiciones se aplican en su última versión publicada y pueden descargarse desde esta página.

En caso de conflicto entre este acuerdo y las condiciones de compra, este acuerdo prevalece en las cuestiones relativas al tratamiento de datos personales.

El tratamiento comprende el análisis automatizado de precios: almacenamiento de archivos de clientes, controles de calidad, cálculos deterministas en el navegador del cliente, entrevistas, transcripciones, resultados de los análisis, informes y contenido de las presentaciones. El apoyo de IA utiliza Azure OpenAI en la UE. La voz es opcional, se activa únicamente por la persona entrevistada y puede desactivarse; ProfitLens no graba ni almacena audio y guarda únicamente transcripciones escritas.

Para la orientación de la guía de ayuda, se envía a Azure OpenAI en la UE un resumen limitado de los nombres de columnas, la correspondencia, los resultados de las comprobaciones y, si se ha habilitado, las filas de muestra seudonimizadas. El cliente puede desactivar el envío de filas de muestra. Microsoft no utiliza este contenido para entrenar modelos fundacionales; sus condiciones aplicables de seguridad y supervisión de usos indebidos pueden permitir una conservación limitada.

El tratamiento continúa mientras usted utilice el servicio y durante los plazos de conservación indicados en la política de privacidad.

Interesados: sus empleados que utilizan el servicio, las personas entrevistadas y las personas físicas que puedan figurar en los datos cargados, como representantes de ventas o personas de contacto de sus clientes.

Datos: nombre, cargo, correo electrónico, identificadores de clientes y datos de transacciones. No deben cargarse categorías especiales de datos conforme al Article 9 GDPR. Los nombres de los clientes pueden enmascararse, siempre que el enmascaramiento sea coherente.

Tratamos los datos personales únicamente siguiendo sus instrucciones documentadas, constituyendo su uso del servicio y estas condiciones la instrucción.

El personal con acceso está sujeto a obligaciones de confidencialidad. El acceso está controlado mediante permisos y limitado a lo que el trabajo requiere.

Aplicamos medidas técnicas y organizativas de seguridad apropiadas conforme al Article 32: cifrado en reposo y en tránsito, separación por cuenta y análisis, registro de actividad y procedimientos de recuperación.

Le asistimos en la respuesta a las solicitudes de los interesados y en las evaluaciones de impacto y consultas previas en la medida razonablemente necesaria.

Le notificamos sin dilación indebida y, a más tardar, en un plazo de 48 horas desde su detección, cualquier violación de la seguridad de los datos personales que afecte a sus datos.

Al finalizar la relación, suprimimos sus datos personales o se los devolvemos si así lo solicita en un plazo de treinta días, salvo que la ley nos obligue a conservarlos.

Usted otorga autorización previa general para que contratemos subencargados del tratamiento. Imponemos a cada subencargado obligaciones al menos equivalentes a las de este acuerdo y seguimos siendo responsables de su tratamiento como del nuestro propio.

Subencargados actuales y funciones: Microsoft Ireland Operations Limited (Azure Blob Storage, archivos de clientes en Suecia; Azure Database for PostgreSQL, transcripciones, análisis, informes y contenido de las presentaciones en Irlanda; Azure OpenAI, IA de texto y voz/transcripción opcionales en la EU Data Zone). Supabase (plataforma del sitio web y de la aplicación, acceso del lado del servidor y orquestación del servicio, cuentas, autenticación, metadatos de acceso y créditos). Los proveedores de correo electrónico entregan las notificaciones del sistema. Esta distribución describe los servicios utilizados; no afirma que el alojamiento o el soporte se realicen exclusivamente en la UE.

Le informamos antes de comenzar a utilizar un nuevo subencargado. Usted puede oponerse por motivos razonables y, si no podemos atender su oposición, puede dar por terminado el servicio y obtener el reembolso de los créditos no utilizados.

El almacenamiento principal del contenido de clientes se realiza en regiones de Azure de la UE: archivos en Sweden Central (Suecia), y transcripciones, resultados de los análisis, informes y contenido de las presentaciones en North Europe (Irlanda). La inferencia de Azure OpenAI EU Data Zone puede tener lugar en distintos Estados miembros de la UE. No se utilizan implementaciones Global de IA. Los cálculos deterministas se ejecutan localmente en el navegador del cliente. El almacenamiento y la inferencia en la UE no implican que todos los servidores de aplicaciones o proveedores de apoyo traten datos únicamente dentro de la UE.

Las copias temporales del contenido de clientes en el anterior almacenamiento de Supabase en la UE permanecen durante la verificación y como respaldo para la reversión. La eliminación definitiva requiere una supresión aprobada por separado y no se produce automáticamente cuando cambian estas condiciones. Para el acceso desde terceros países o las transferencias a estos por parte de proveedores de apoyo, aplicamos las garantías de transferencia del GDPR, incluidas las cláusulas contractuales tipo cuando sean necesarias. Las condiciones aplicables de protección de datos y de servicio de Microsoft también rigen la seguridad y la supervisión de usos indebidos; no se ha verificado ninguna exención de retención nula.

Previa solicitud, proporcionamos la documentación necesaria para demostrar el cumplimiento del Article 28 GDPR. Puede realizarse una auditoría una vez al año, con un preaviso razonable y sin exponer los datos de otros clientes.

El apoyo de IA se utiliza únicamente en algunos pasos y nunca recibe el conjunto completo de datos cargados. Los cálculos se realizan mediante código versionado sin IA.

Antes de enviar valores de ejemplo a un subencargado de IA, los nombres de clientes, los nombres de productos, los representantes de ventas y los segmentos se sustituyen por códigos estables. La tabla de correspondencias se construye temporalmente en memoria y no se almacena.

El cliente puede seleccionar Estándar (valores de ejemplo codificados), Limitado (solo nombres de columnas y hojas) o Sin IA sobre los datos (apoyo de IA desactivado en los pasos relativos a los datos). La configuración se aplica a la cuenta y puede modificarse para cada análisis.

Antes de cada llamada a la IA, el cliente puede ver el texto exacto que se envía. Cada llamada se registra por análisis con la hora, el paso, el modo, el número de caracteres y si se incluyeron valores de ejemplo; el registro puede descargarse y sirve de apoyo para sus propios registros conforme al Article 30 GDPR.