Anexo de Encargo de Tratamiento de Datos

Alcance y definiciones

“Datos personales”, “responsable del tratamiento”, “encargado del tratamiento”, “titular de los datos” y “brecha de seguridad de datos personales” tienen el significado que les da la ley de protección de datos aplicable, que incluye la Ley N.° 29733 del Perú y, cuando aplique, el RGPD. “Datos Personales del Cliente” son los datos personales que el Cliente y sus usuarios finales envían al servicio dentro de su contenido y que Thaliq trata por cuenta del Cliente: conversaciones, identificadores y atributos de usuarios finales, contenido de bases de conocimiento y valoraciones.

Este DPA no se aplica a los datos personales de los que Thaliq es responsable del tratamiento, como los de los visitantes del sitio web y los de los miembros de las organizaciones clientes. La Política de Privacidad describe esos datos.

Roles

El Cliente es el responsable del tratamiento de los Datos Personales del Cliente, o su encargado cuando actúa por cuenta de otro responsable. Thaliq es el encargado del tratamiento o, en su caso, el subencargado. Cada parte cumple la ley de protección de datos que le sea aplicable.

Instrucciones

Thaliq trata los Datos Personales del Cliente solo según las instrucciones documentadas del Cliente: los Términos de Servicio, este DPA, y la configuración y el uso que el Cliente haga del servicio, incluidas sus llamadas a la API. Thaliq también puede tratarlos cuando la ley lo exija, y se lo informará antes al Cliente, salvo que la ley lo prohíba.

Las instrucciones del Cliente deben ser lícitas. El Cliente es responsable de tener una base legal para el tratamiento, de dar a sus usuarios finales los avisos que la ley exige, incluido el aviso de que conversan con un agente de IA, y de la exactitud de los datos. Si Thaliq considera que una instrucción infringe la ley, se lo comunicará al Cliente.

Detalles del tratamiento

• Objeto: prestar el servicio descrito en los Términos de Servicio.
• Duración: mientras exista la organización del Cliente, más el período de eliminación que fija este DPA.
• Naturaleza y finalidad: alojar y almacenar datos, ejecutar agentes con un modelo de lenguaje, buscar en bases de conocimiento, entregar mensajes por los canales, observabilidad, seguridad, soporte y facturación.
• Tipos de datos personales: identificadores de usuarios finales (como nombres, correos, números de teléfono o identificadores que el Cliente define), atributos que el Cliente define, contenido de mensajes, valoraciones, y los nombres y correos de los miembros del Cliente.
• Titulares de los datos: los usuarios finales y los miembros del Cliente, y las personas mencionadas en el contenido.
• Categorías especiales de datos personales: solo si el Cliente decide enviarlas, y solo cuando la ley y la Política de Uso Aceptable lo permitan.

Confidencialidad

Thaliq se asegura de que las personas que autoriza a tratar los Datos Personales del Cliente estén sujetas a un deber de confidencialidad, y limita el acceso a quienes lo necesitan. El personal de Thaliq no lee las conversaciones del Cliente, salvo para dar el soporte que el Cliente pidió, para mantener el servicio seguro o cuando la ley lo exija.

Medidas de seguridad

Thaliq mantiene medidas técnicas y organizativas adecuadas al riesgo. Entre ellas:

• Cifrado en tránsito con TLS, y cifrado en reposo de la base de datos, la cola y el almacén de secretos.
• Aislamiento entre organizaciones en la base de datos mediante seguridad a nivel de fila, y ningún acceso a la base de datos desde internet público.
• Los secretos del Cliente, como las credenciales de sus herramientas, cifrados individualmente con claves por organización que protege una clave maestra.
• Contraseñas, claves de API y tokens de sesión almacenados solo como hash.
• Acceso por roles en la consola, y un registro de auditoría de los cambios que se conserva 12 meses.
• Acceso restringido y auditado para los operadores de Thaliq, que no pueden leer conversaciones con las herramientas de operador.
• Copias de seguridad automáticas, e imágenes de contenedor construidas con dependencias fijadas, analizadas en busca de vulnerabilidades y firmadas.

Estas medidas pueden cambiar a medida que evoluciona el servicio, siempre que el nivel de protección no disminuya. [POR CONFIRMAR: lista final, con asesoría legal]

Subencargados del tratamiento

El Cliente autoriza a Thaliq a usar subencargados. Thaliq tiene un contrato escrito con cada uno que exige una protección equivalente a la de este DPA, y sigue siendo responsable de su desempeño.

Subencargados actuales

• Amazon Web Services: alojamiento, base de datos, cola, envío de correos y el modelo de lenguaje mediante Amazon Bedrock. Región us-east-1, Estados Unidos; las solicitudes al modelo pueden procesarse en otras regiones de AWS.
• Cloudflare: DNS, borde de la red, túnel seguro hacia los servidores de Thaliq y alojamiento del widget. Red global.
• Voyage AI: incrustaciones vectoriales (embeddings) del contenido de las bases de conocimiento y de las preguntas de búsqueda, solo si el Cliente usa bases de conocimiento. [POR CONFIRMAR: ubicación y términos]

Los servicios que el Cliente conecta por su cuenta, como WhatsApp, Slack, servidores MCP, herramientas y webhooks, son decisión del Cliente. No son subencargados de Thaliq, y el Cliente es responsable de los datos que les envía.

Thaliq avisará al Cliente al menos 30 días antes de incorporar o reemplazar un subencargado, por correo electrónico al propietario de la organización o mediante un aviso en la consola. El Cliente puede oponerse por motivos razonables de protección de datos. Si las partes no resuelven la oposición, el Cliente puede dar por terminado el servicio afectado.

Ayuda con las solicitudes de los titulares

Thaliq avisará al Cliente sin demora indebida si un titular de datos le consulta sobre Datos Personales del Cliente, y no responderá, salvo para remitir a la persona al Cliente. La consola y la API permiten al Cliente exportar datos y eliminar a un usuario final. Thaliq dará una ayuda razonable con las solicitudes de los titulares, las evaluaciones de impacto en la protección de datos y las consultas a las autoridades, teniendo en cuenta la naturaleza del tratamiento.

Brechas de seguridad de datos personales

Thaliq avisará al Cliente sin demora indebida después de tomar conocimiento de una brecha de seguridad que afecte a los Datos Personales del Cliente, y dentro de [POR CONFIRMAR: 72 horas]. El aviso describirá lo ocurrido, los datos afectados, las consecuencias probables y las medidas adoptadas, en la medida en que se conozcan, y Thaliq mantendrá informado al Cliente y cooperará.

Transferencias internacionales

Los Datos Personales del Cliente se alojan en AWS us-east-1, en Estados Unidos, y las solicitudes al modelo pueden procesarse en otras regiones de AWS. El Cliente autoriza estas transferencias. Cuando la ley exija un mecanismo de transferencia, las partes usarán las Cláusulas Contractuales Estándar u otro mecanismo que la ley reconozca. [POR CONFIRMAR: módulo y anexos]

Devolución y eliminación

El propietario de la organización del Cliente puede exportar sus datos desde la consola y solicitar su eliminación. Tras una solicitud de eliminación, la organización se conserva durante un período de gracia de 30 días, en el que el Cliente puede cancelar; después, Thaliq elimina los Datos Personales del Cliente. Las copias de seguridad automáticas se sobrescriben en su ciclo normal, de hasta 14 días. Thaliq puede conservar lo que la ley le exija conservar, como los registros de facturación.

Información y auditorías

Thaliq pondrá a disposición la información necesaria para demostrar que cumple este DPA. El Cliente puede auditar a Thaliq una vez al año, con 30 días de aviso, en horario laboral, a su propio costo y bajo confidencialidad, sin acceso a los datos de otros clientes. Thaliq puede atender una auditoría con informes de terceros independientes, como los informes de cumplimiento de AWS, y con su propia documentación de seguridad. [POR CONFIRMAR]

Vigencia, responsabilidad y prelación

Este DPA dura mientras Thaliq trate Datos Personales del Cliente. La responsabilidad de cada parte conforme a este DPA está sujeta a los límites de los Términos de Servicio. Si este DPA y los Términos de Servicio se contradicen en el tratamiento de datos personales, prevalece este DPA. Se rige por la misma ley y ante los mismos tribunales que los Términos de Servicio.

Contacto

Consultas sobre este DPA o sobre protección de datos: [email protected]. [POR CONFIRMAR: contacto de protección de datos]