Este Acuerdo de Tratamiento de Datos (en adelante "DPA") se celebra entre el cliente que utiliza los servicios de Sens-AI, actuando como Responsable del Tratamiento, y Sens-AI, actuando como Encargado del Tratamiento, de conformidad con el Articulo 28 del Reglamento (UE) 2016/679 (RGPD).
En caso de conflicto entre este DPA y cualquier otra disposicion de las Condiciones de Uso relativa al tratamiento de datos personales, prevalecera este DPA en la medida del conflicto.
1. Objeto y duracion del tratamiento
Este DPA define las condiciones bajo las cuales Sens-AI trata datos personales en nombre del cliente, en el contexto de la prestacion del servicio SaaS de chatbot IA.
El DPA entra en vigor en la fecha de suscripcion del servicio y permanece aplicable durante toda la duracion del contrato, asi como durante el periodo en que Sens-AI conserve datos personales en nombre del cliente.
2. Naturaleza y finalidad del tratamiento
Sens-AI proporciona un servicio SaaS de chatbot IA que permite, entre otras cosas:
- Gestion de conversaciones entre usuarios finales y el chatbot
- Alojamiento, almacenamiento, busqueda y analisis de contenido de conversaciones
- Indexacion y busqueda semantica en la base de conocimientos del cliente
- Administracion de cuentas de usuario y derechos de acceso
- Funciones de soporte, mejora y monitorizacion
3. Tipos de datos personales tratados
Dependiendo de la configuracion del cliente, los datos tratados pueden incluir:
- Datos de identificacion: nombre, correo electronico profesional, ID de usuario
- Datos de conexion: registros, direccion IP, identificadores de sesion, marcas de tiempo
- Contenido de conversaciones: mensajes de texto introducidos en el chatbot
- Numero de telefono: numero del llamante en el canal telefonico, o numero facilitado durante una conversacion, tratado para identificar a la persona y permitir que un agente le devuelva la llamada; se conserva 90 dias, como la conversacion a la que pertenece
- Datos de base de conocimientos: contenido de archivos subidos (PDF, DOCX, CSV) y paginas web rastreadas
- Datos de uso: estadisticas de uso, configuraciones, preferencias
- Datos de facturacion: ID de cliente, plan de suscripcion, historial de pagos
Periodos de conservacion:
| Tipo de datos | Periodo de conservacion |
|---|---|
| Conversaciones y mensajes | 90 dias desde el ultimo intercambio; a mas tardar 30 dias tras el fin del contrato |
| Datos de cache tecnico | TTL maximo de 24 horas |
| Embeddings vectoriales | Se eliminan al eliminar la fuente |
| Archivos subidos | Se eliminan al eliminar la fuente |
| Registros tecnicos | 30 a 90 dias |
| Datos de facturacion | Conforme a las obligaciones legales |
Eliminacion automatica a los 90 dias:
Las conversaciones y los mensajes que contienen se eliminan de forma definitiva 90 dias despues del ultimo intercambio, sin esperar al fin del contrato. La eliminacion es irreversible e incluye los archivos adjuntos, los vinculos de contacto y los registros de analisis asociados a esas conversaciones.
Dos excepciones:
- una conversacion que todavia esta siendo atendida por un agente (escalada, transferida o asignada a un miembro del equipo) se conserva hasta su cierre; despues se aplica el plazo de 90 dias;
- los datos que Sens-AI debe conservar en virtud de una obligacion legal, en particular los datos de facturacion.
El cliente puede exportar sus conversaciones desde el panel de control o la API en cualquier momento antes de esa fecha. Sens-AI mantiene un registro de las operaciones de eliminacion (fecha, volumenes) conforme al articulo 5.2 del RGPD, sin conservar el contenido eliminado.
4. Categorias de interesados
Las personas cuyos datos se tratan pueden incluir:
- Usuarios finales del chatbot: clientes, prospectos y usuarios internos del responsable del tratamiento
- Miembros del equipo del cliente: administradores y operadores que utilizan el panel de control
- Contactos de facturacion: personas responsables del pago y gestion de suscripciones
5. Obligaciones del encargado (Sens-AI)
Sens-AI se compromete a:
- Instrucciones documentadas: tratar datos personales unicamente segun las instrucciones documentadas del cliente
- Confidencialidad: garantizar que las personas autorizadas esten sujetas a una obligacion de confidencialidad
- Seguridad: implementar medidas tecnicas y organizativas apropiadas (Articulo 32 RGPD)
- Notificacion de brechas: notificar al cliente sin demora indebida de cualquier brecha de datos personales
- Asistencia en derechos: asistir al cliente para permitir el ejercicio de los derechos de los interesados
6. Obligaciones del responsable (Cliente)
El cliente se compromete a:
- Asegurar que el tratamiento confiado a Sens-AI cumple con las leyes de proteccion de datos aplicables
- Proporcionar a Sens-AI instrucciones documentadas, licitas y proporcionadas
- Informar a Sens-AI de cualquier cambio que afecte a estas instrucciones
7. Subencargados
El cliente autoriza a Sens-AI a recurrir a los siguientes subencargados para prestar el servicio.
| Subencargado | Servicio | Datos tratados | Ubicacion |
|---|---|---|---|
| Turso | Base de datos relacional | Cuentas, conversaciones, mensajes, FAQ, facturacion | UE (Irlanda) |
| Upstash | Cache, sesiones, limitacion de tasa, cola de tareas asincrona, busqueda semantica | Respuestas en cache, contadores IP, sesiones, embeddings de base de conocimientos, contenidos en transito | UE (Frankfurt) |
| Mistral AI | Modelo de lenguaje IA (LLM) | Prompts, contextos de conversacion | UE (Francia) |
| Cloudflare | Almacenamiento de objetos | PDF, DOCX, CSV subidos por el cliente | UE |
| Creem | Plataforma de pago | Datos de pago, facturacion, suscripciones | UE (PCI-DSS) |
| Loops.so | Email transaccional y de marketing | Emails, nombres, preferencias de comunicacion | Estados Unidos (CCT) |
8. Medidas de seguridad
De conformidad con el Articulo 32 del RGPD, Sens-AI implementa las siguientes medidas:
- Cifrado en transito: todas las comunicaciones estan cifradas via TLS/HTTPS
- Cifrado en reposo: los datos almacenados estan cifrados en reposo
- Control de acceso: autenticacion con contrasenas hash (bcrypt), gestion de acceso por inquilino
- Aislamiento de datos: separacion logica por inquilino
- Limitacion de tasa: proteccion contra abusos y ataques de denegacion de servicio
- Registro: registros de acceso y operaciones para trazabilidad
9. Transferencias fuera del EEE
La infraestructura principal de Sens-AI esta alojada en la Union Europea. Cuando las transferencias fuera del EEE sean necesarias, se rigen por Clausulas Contractuales Tipo (CCT) adoptadas por la Comision Europea.
10. Notificacion de brechas
En caso de brecha de datos personales, Sens-AI se compromete a:
- Notificar al cliente sin demora indebida tras tener conocimiento de la brecha
- Proporcionar informacion disponible util para evaluar la brecha
- Asistir al cliente en la notificacion a la autoridad de control (CNIL) y, en su caso, a los interesados afectados
11. Auditoria y revision
El cliente tiene derecho a verificar el cumplimiento de Sens-AI con este DPA y el RGPD:
- A traves de solicitudes de informacion y documentacion de seguridad
- A traves de auditorias presenciales o remotas, previo aviso razonable
- A traves de un auditor independiente designado por el cliente
12. Tratamiento de datos tras la terminacion
Tras la terminacion del contrato, el cliente elige entre:
- Devolucion: exportacion de datos personales seguida de eliminacion por Sens-AI
- Eliminacion: eliminacion permanente de datos personales
El cliente dispone de 30 dias tras la terminacion del contrato para solicitar la exportacion de datos.
13. Contacto DPO
Para cualquier pregunta sobre este DPA o el tratamiento de tus datos personales, puedes contactar a nuestro Delegado de Proteccion de Datos:
Este DPA se rige por el derecho frances. Cualquier litigio relativo a su interpretacion o ejecucion se sometera a la jurisdiccion exclusiva de los tribunales de Paris.