Acuerdo de Procesamiento de Datos
1. Partes y Definiciones
KS Agents (P.IVA IT01430680320)
Correo Electrónico: [email protected]
Sitio Web: ks-agents.com
La organización (empresa, institución o individuo) que ha aceptado los Términos de Servicio de KS Agents. Identificada por el nombre de la cuenta y el correo electrónico registrados al registrarse.
Los términos definidos en el Reglamento (UE) 2016/679 ("RGPD"), el RGPD del Reino Unido y leyes de protección de datos equivalentes tienen el mismo significado aquí. En particular:
- Datos personales, tratamiento, responsable, encargado, interesado — como se define en el Art. 4 del RGPD.
- Subprocesador — cualquier encargado del tratamiento contratado por KS Agents para llevar a cabo actividades de procesamiento en nombre del Responsable.
- Cláusulas Contractuales Tipo (SCC) — Cláusulas contractuales tipo adoptadas por la Decisión de la Comisión 2021/914/UE.
- Servicios — la plataforma KS Agents y todas las funciones descritas en los Términos de Servicio.
- Contenido del cliente — todos los datos personales cargados, generados o procesados a través de los Servicios por el Responsable.
2. Naturaleza y Propósito del Procesamiento (Anexo A)
KS Agents procesa datos personales como se describe en el Anexo A únicamente para proporcionar los Servicios al Responsable. La descripción completa del procesamiento — incluyendo categorías de interesados, categorías de datos personales y duración — se establece en el Anexo A al final de este documento.
3. Obligaciones del Encargado del Tratamiento
KS Agents procesará datos personales solo bajo instrucciones documentadas del Responsable, incluso con respecto a transferencias de datos personales a un tercer país o una organización internacional, a menos que así lo exija la legislación de la Unión o de los Estados miembros a la que esté sujeto KS Agents; en tal caso, KS Agents informará al Responsable de ese requisito legal antes del procesamiento, a menos que dicha ley prohíba tal información por motivos de interés público.
Los Términos de Servicio y este DPA constituyen el conjunto completo de instrucciones documentadas. El Responsable puede emitir más instrucciones a través de la interfaz administrativa de la plataforma o por escrito a [email protected]. KS Agents notificará de inmediato al Responsable si, en su opinión razonable, alguna instrucción infringe la ley de protección de datos aplicable.
KS Agents garantiza que las personas autorizadas para procesar datos personales en su nombre se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad. El acceso al contenido del cliente está restringido al personal de KS Agents y a los subencargados que requieran acceso para proporcionar los Servicios.
KS Agents implementará y mantendrá las medidas técnicas y organizativas establecidas en el Anexo C. Estas medidas tienen en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del procesamiento, así como la probabilidad y gravedad variables del riesgo para los derechos y libertades de las personas físicas. KS Agents puede actualizar las medidas en el Anexo C de vez en cuando, siempre que las medidas actualizadas mantengan al menos un nivel de seguridad equivalente.
Al aceptar este DPA, el Responsable otorga a KS Agents autorización general por escrito para contratar a los subencargados enumerados en el Anexo B (Registro de subencargados).
A los efectos de esta cláusula, subprocesador significa un tercero contratado por los Agentes de KS que tiene acceso al contenido del cliente en relación con la prestación de los Servicios. Los servicios auxiliares que no implican dicho acceso, incluidas telecomunicaciones y conectividad, proveedores de correo y envío, herramientas de mantenimiento y soporte al usuario final, y otras medidas destinadas a salvaguardar la confidencialidad, disponibilidad, integridad y resistencia de los sistemas de los Agentes de KS, no son subprocesadores en el sentido de esta cláusula y no requieren notificación en virtud de esta sección.
KS Agents notificará al Responsable al menos 30 días antes de agregar o reemplazar cualquier subencargado que pueda acceder al contenido del cliente, actualizando el registro de subencargados en ks-agents.com/legal/subprocessors/ y enviando un aviso por correo electrónico a la dirección de correo electrónico registrada del Responsable.
El Responsable puede objetar por escrito a dicha adición o reemplazo dentro del período de notificación de 30 días, por motivos razonables de protección de datos. Si no se resuelve una objeción dentro del período de notificación, el Responsable puede cancelar los Servicios afectados sin penalización proporcionando un aviso por escrito antes de la fecha de vigencia prevista del nuevo subencargado.
Cuando KS Agents contrate a un subencargado, impondrá a dicho subencargado las mismas obligaciones de protección de datos que se establecen en este DPA, en particular proporcionando garantías suficientes para implementar medidas técnicas y organizativas adecuadas de tal manera que el procesamiento cumpla con los requisitos del RGPD.
KS Agents asistirá al Responsable para responder a las solicitudes de los interesados que ejerzan sus derechos en virtud del Capítulo III del RGPD (incluidos los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos y oposición).
KS Agents proporciona herramientas de derechos de datos de autoservicio (eliminación y exportación) accesibles a los usuarios dentro de la plataforma. KS Agents notificará al Responsable de cualquier solicitud directa de un interesado recibida dentro de los 5 días hábiles y no responderá a dicha solicitud sin la autorización previa del Responsable, a menos que así lo exija la ley aplicable.
La asistencia de KS Agents se proporciona de forma gratuita para las solicitudes que se pueden cumplir utilizando herramientas estándar de la plataforma. KS Agents puede cobrar una tarifa razonable por solicitudes que requieran extracción personalizada o un esfuerzo inusual.
Teniendo en cuenta la naturaleza del procesamiento y la información disponible, KS Agents ayudará al Responsable a garantizar el cumplimiento de sus obligaciones en virtud de los Artículos 32–36 del RGPD, incluyendo: (a) seguridad del procesamiento; (b) notificación de violaciones de datos personales a la autoridad de control; (c) comunicación de violaciones de datos personales a los interesados; (d) evaluaciones de impacto de protección de datos; y (e) consulta previa con las autoridades de control.
Tras la terminación de los Términos de Servicio por cualquier motivo, KS Agents, a elección del Responsable y previa solicitud por escrito realizada dentro de los 30 días posteriores a la terminación: (a) eliminará todo el contenido del cliente y proporcionará certificación escrita de la eliminación; o (b) devolverá todo el contenido del cliente en formato legible por máquina (JSON/CSV).
Si no se recibe ninguna instrucción dentro de los 30 días posteriores a la terminación, KS Agents eliminará todo el contenido del cliente. KS Agents puede retener datos personales cuando así lo exija la legislación aplicable de la Unión o de los Estados miembros; en tal caso, KS Agents notificará al Responsable la obligación de retención y la base legal.
Exclusión de copia de seguridad. La obligación de eliminación anterior no se extiende a las copias de seguridad que existen únicamente para fines de recuperación ante desastres. Dichas copias de seguridad se conservan durante un período continuo de hasta 7 días desde su creación, no son accesibles para su recuperación o restauración en el curso normal y caducan automáticamente. Los agentes de KS no restaurarán el contenido eliminado del cliente desde la copia de seguridad, excepto cuando lo exija la ley. Los datos personales que deben conservarse para cumplir con las obligaciones legales (por ejemplo, la ley tributaria) también están fuera del alcance de la obligación de eliminación, pero estarán sujetos a restricciones de procesamiento apropiadas durante el período de retención.
KS Agents pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones como encargado del tratamiento, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Responsable o un auditor externo autorizado.
Los Agentes de KS podrán demostrar el cumplimiento mediante cualquiera de las siguientes formas de evidencia:
- adherencia a un código de conducta aprobado según el art. 40 RGPD;
- un mecanismo de certificación aprobado según el art. 42 RGPD;
- evaluaciones actuales, informes o extractos de los mismos de partes independientes (auditores externos, auditores internos, delegado de protección de datos, seguridad informática, control de calidad);
- certificaciones de subprocesador bajo marcos reconocidos como ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Tipo II o auditorías de seguridad de TI equivalentes;
- el registro público de subencargados y las Medidas Técnicas y Organizativas establecidas en el Anexo C del presente DPA.
El Controlador deberá proporcionar al menos notificación por escrito con al menos 30 días de antelación de cualquier auditoría in situ. Las auditorías in situ se llevarán a cabo: (a)durante el horario comercial normal; (b) no más de una vez por año calendario, a menos que una violación de datos personales confirmada justifique una revisión adicional; (c) a expensas del Contralor, incluido el tiempo razonable del personal de los Agentes de KS; y (d)sujeto a un acuerdo de confidencialidad que protege los datos y secretos comerciales de otros clientes de KS Agents. Cuando el Controlador designa un auditor externo, los Agentes de KS pueden objetar por motivos razonables, incluso cuando el tercero es un competidor directo de los Agentes de KS.
Las partes acuerdan que la revisión por parte del Responsable de este DPA, el registro de subencargados, el Anexo C (TOMs) y las certificaciones de seguridad aplicables de los subencargados constituirá evidencia de auditoría suficiente para fines de cumplimiento de rutina.
4. Obligaciones del Responsable
El Responsable declara, garantiza y se compromete a que:
- Tiene, y mantendrá durante toda la vigencia de este DPA, una base legal para cada actividad de procesamiento llevada a cabo o instruida en virtud de este DPA (Art. 6 RGPD o equivalente);
- Ha proporcionado, y continuará proporcionando, a los interesados toda la información requerida por los Artículos 13–14 del RGPD con respecto al rol de KS Agents como encargado del tratamiento;
- No dará instrucciones a KS Agents para procesar datos personales de una manera que viole la ley de protección de datos aplicable;
- No cargará categorías especiales de datos personales (Art. 9 RGPD) — incluidos datos de salud, biométricos o políticos — sin un acuerdo previo por escrito con KS Agents y documentación de una base legal adecuada;
- Es el único responsable de la exactitud y legalidad de los datos personales proporcionados a KS Agents;
- Cuando el Responsable opere fuera de la UE/EEE, se asegurará de que su uso de los Servicios cumpla con la ley local de protección de datos aplicable, incluyendo, entre otros, CCPA/CPRA (California), LGPD (Brasil), RGPD del Reino Unido, PIPEDA (Canadá) y APPI (Japón).
5. Transferencias Internacionales de Datos
Los datos personales procesados bajo este DPA pueden transferirse a países fuera del Espacio Económico Europeo ("EEE") en la medida necesaria para los subprocesadores que prestan los Servicios. Cada una de estas transferencias se basa en una o más de las salvaguardas enumeradas en los artículos 44 a 49 del RGPD:
- una decisión de adecuación de la Comisión Europea (Art. 45 RGPD);
- Cláusulas contractuales tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión: véase el anexo D (artículo 46, apartado 2, letra c)del RGPD);
- normas corporativas vinculantes aprobadas por una autoridad de control (Art. 47 RGPD);
- códigos de conducta aprobados en virtud del art. 40 RGPD (Art. 46(2)(e));
- mecanismos de certificación aprobados según el art. 42 RGPD (Art. 46(2)(f));
- excepciones para situaciones específicas en virtud del art. 49 GDPR, utilizado solo cuando no hay otra protección disponible.
La salvaguardia específica en la que se basa cada subprocesador se registra en la tabla de transferencia a continuación y en el registro público de subprocesadores. Cuando se aplican múltiples salvaguardas, prevalece la salvaguarda aplicable más fuerte.
| Subprocesador | Destino | Mecanismo de transferencia |
|---|---|---|
| Hetzner Online GmbH | Helsinki, Finlandia (UE) | Sin transferencia fuera del EEE |
| Cloudflare, Inc. | R2: jurisdicción UE. CDN/DNS: edge global. | SCCs 2021 Módulo 2 + DPA Cloudflare |
| OpenAI, L.L.C. | EE. UU. | SCCs 2021 Módulo 3 + OpenAI DPA + Retención de datos cero |
| Anthropic PBC | EE. UU. | SCCs 2021 Módulo 3 + DPA antrópico + Retención de datos cero |
| Google LLC (Gemini API) | EE. UU. | SCC 2021 Módulo 3 + Google Cloud DPA |
| Google LLC (Vertex AI, EU live audio) | Países Bajos (UE) | Procesamiento intra-UE (europe-west4) + DPA de Google Cloud — sin transferencia a terceros países |
| Microsoft Corporation (Azure OpenAI) | UE (Europa Occidental / Suecia Central) | Procesamiento dentro de la UE + Microsoft DPA: sin transferencia a terceros países |
| OpenRouter Inc. | EE. UU. | SCCs 2021 Módulo 3 + Términos de privacidad de OpenRouter + Retención de datos cero |
| Requesty (EU) | UE | Procesamiento dentro de la UE + Términos solicitados + Retención de datos cero |
| Stripe, Inc. | Estados Unidos / Irlanda | SCC 2021 Módulo 3 + Stripe DPA |
| Proveedores de correo electrónico (Postmark / Resend) | EE. UU. | SCCs 2021 Módulo 3 + proveedor DPA |
Las SCC mencionadas anteriormente son las adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021. El Módulo 3 (Procesador a Procesador) se aplica cuando los Agentes de KS, actuando como procesadores para el Responsable, contratan a un subprocesador fuera del EEE. El Módulo 2 (Controlador a Procesador) se aplica cuando el Controlador está establecido fuera del EEE y contrata a Agentes de KS como su procesador. Al celebrar este DPA, se considera que las partes han ejecutado el módulo de SCC aplicable según lo establecido en el Anexo D. En caso de cualquier conflicto entre las SCC y este DPA únicamente con respecto a las obligaciones de transferencia internacional, prevalecerán las SCC.
6. Notificación de Violación de Datos
En caso de una violación de datos personales que afecte el contenido del cliente, KS Agents notificará al Responsable sin demora indebida y dentro de las 48 horas de tener conocimiento de la violación. Dicha notificación incluirá, en la medida en que se conozca en ese momento:
- Una descripción de la naturaleza de la violación de datos personales, incluidas las categorías y el número aproximado de interesados afectados y las categorías y el número aproximado de registros de datos personales afectados;
- El nombre y los datos de contacto del Delegado de Protección de Datos u otro contacto de privacidad;
- Una descripción de las posibles consecuencias de la violación de datos personales;
- Una descripción de las medidas adoptadas o propuestas para abordar la violación, incluidas las medidas para mitigar sus posibles efectos adversos.
KS Agents cooperará con el Responsable y proporcionará asistencia razonable para investigar y remediar la violación, incluido un informe escrito posterior al incidente dentro de los 14 días posteriores a la notificación al Responsable.
KS Agents no notificará ninguna violación a ninguna autoridad de control o interesado en nombre del Responsable sin el consentimiento previo por escrito del Responsable, a menos que así lo exija la ley aplicable. La ventana de notificación de 48 horas está diseñada para permitir que el Responsable cumpla con su propia obligación de notificación de 72 horas a las autoridades de control en virtud del Art. 33 del RGPD.
7. Responsabilidad
La responsabilidad de cada parte bajo o en conexión con este DPA está sujeta a las exclusiones y limitaciones establecidas en los Términos de Servicio. Nada en este DPA limita la responsabilidad de ninguna de las partes ante los interesados o las autoridades de control según las leyes de protección de datos aplicables.
Cuando una parte haya pagado daños o multas a un interesado, autoridad de control u otro tercero derivados de un incumplimiento de este DPA o de las leyes de protección de datos, y la otra parte tenga responsabilidad parcial o total, la parte pagadora tiene derecho a reembolso.
8. Plazo y Terminación
Este DPA entrará en vigor a partir de la fecha en que el Controlador acepte los Términos de servicio y permanecerá vigente por la duración de los mismos, más el período de tiempo requerido para la eliminación o devolución del contenido del cliente según la Sección 3.7.
La terminación de los Términos de Servicio terminará automáticamente este DPA, sujeto a la Sección 3.7 y a cualquier obligación legal de retención. Las cláusulas que por su naturaleza deban sobrevivir a la terminación seguirán vigentes.
9. Ley Aplicable y Jurisdicción
Este DPA se rige por las leyes de Italia. Las disputas que no se resuelvan de manera amistosa estarán sujetas a la jurisdicción exclusiva de los tribunales competentes de la ciudad del domicilio social de KS Agents, excepto cuando lo requieran las SCC incorporadas en el Anexo D.
Cuando el Responsable esté establecido en un Estado Miembro de la UE distinto de Italia, la autoridad supervisora de ese Estado Miembro será la autoridad líder para las obligaciones del Responsable, mientras que el Garante de Italia será competente para las obligaciones de KS Agents como encargado.
Anexos
Anexo A — Descripción del Procesamiento
Naturaleza del procesamiento
Almacenamiento, recuperación, visualización, análisis asistido por AI, generación de resúmenes e insights y transmisión a usuarios autorizados del Responsable.
Propósito del procesamiento
Provisión de la plataforma KS Agents de intercambio de conocimientos, gestión del rendimiento e inteligencia organizacional, como se describe en los Términos de servicio.
Duración del procesamiento
Por la duración de los Términos de servicio, más 30 días posteriores a la terminación para eliminación/devolución. Mayor retención solo cuando lo exija la ley.
Categorías de interesados
- Empleados y contratistas del Responsable
- Encuestados de encuestas y revisiones de 360°
- Participantes de entrevistas con AI
- Contactos y leads de CRM
- Destinatarios de campañas de correo electrónico
- Usuarios de las cuentas de la plataforma KS Agents
Categorías de datos personales
- Identidad: nombre, correo electrónico, puesto de trabajo, departamento
- Rendimiento: respuestas, puntuaciones 360°, comentarios y planes
- Comportamiento: registros de actividad y chats
- Profesional: evaluaciones de habilidades y estructura
- Contacto: teléfono, perfil de LinkedIn
- Voz / audio: entrada de voz en tiempo real desde conversaciones de AI en vivo y entrevistas con AI. Para los tenants de la zona UE, procesado exclusivamente en europe-west4 (Países Bajos) a través de Google Cloud Vertex AI; caché a nivel de proyecto deshabilitada; sin entrenamiento de modelos en el contenido del tenant.
- Datos sensibles (Art. 9): NO cargar sin acuerdo escrito.
Anexo B — Subencargados aprobados
La lista de subencargados se mantiene en ks-agents.com/legal/subprocessors/. Se actualiza cuando se añaden o eliminan subencargados, con 30 días de antelación.
Al aceptar el DPA, el Responsable autoriza a todos los subencargados enumerados en esa URL.
Anexo C — Medidas de Seguridad (TOMs)
1. Control de Acceso
- Autenticación multifactor aplicada para todo el personal
- Control de acceso basado en roles (RBAC) por inquilino
- Principio de mínimo privilegio; revisiones periódicas
- Credenciales únicas individuales; sin contraseñas compartidas
2. Cifrado
- Datos en tránsito: TLS 1.2+ en todas las conexiones
- Datos en reposo: cifrado AES-256 en el lado del servidor (Cloudflare R2)
- Módulo de Auditoría: cifrado a nivel de campo con jerarquía de Key Encryption Key (KEK) rotativa — claves por tenant via HKDF-SHA256
- Llamadas a API LLM: Sin almacenamiento permanente o entrenamiento de modelos (ZDR)
3. Aislamiento Lógico del Inquilino
- Estricta separación para cada inquilino.
- El acceso cruzado no es posible.
4. Disponibilidad y Resiliencia
- Alojamiento principal: Hetzner Online GmbH, Helsinki, Finlandia (UE), centro de datos con certificación ISO 27001
- Copias de seguridad automatizadas de bases de datos (diarias, se conservan las 7 más recientes)
- Monitoreo de salud
- Procedimientos documentados
5. Gestión de Subencargados
- Acuerdos escritos
- ZDR habilitado para LLM
- Revisión periódica
6. Medidas para el Personal
- Acuerdos de confidencialidad para todo el personal
- Formación sobre protección de datos
- Libro de ejecución documentado
Anexo D — Cláusulas Contractuales Tipo (SCC)
Cuando los datos personales originados en el EEE se transfieren a un subprocesador ubicado fuera del EEE, las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión de 4 de junio de 2021, Módulo 3 (Procesador a Procesador), se incorporan por la presente como referencia y forman parte integral de este DPA.
Para los fines del Módulo 3: (a) los Agentes de KS actúan como exportadores (procesadores)de datos en nombre del Controlador; (b) cada subprocesador relevante fuera del EEE actúa como importador de datos (subprocesador); (c) el Anexo I de las CEC se cumple con el Anexo A de este DPA; (d) el Anexo II de las CEC se cumple con el Anexo C de este DPA; (e) El Anexo III de las SCC se cumple con el Anexo B (Registro de Subencargados)de este DPA. Las CEC están disponibles íntegramente en: EUR-Lex 2021/914/EU.
Cuando el Controlador está establecido fuera del EEE, el Módulo 2 (Controlador a Procesador) de las mismas SCC se aplica entre el Controlador (exportador de datos) y los Agentes de KS (importador/procesador de datos), en la medida que lo exija la ley aplicable.
¿Preguntas sobre este DPA?
Para negociación del DPA (enterprise), consultas de cumplimiento o aclaraciones de seguridad: [email protected].
