Encargo del tratamiento

Qué es este contrato

Cuando usas Evy para tu negocio, tu asistente maneja datos personales de tus clientes, proveedores y contactos. Esos datos son tuyos y tú decides sobre ellos.

Evy los guarda y los trata solo para darte el servicio, por tu cuenta.

Eso lo regulan las cláusulas que siguen: las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/915). Forman parte de los Términos y Condiciones que aceptas al contratar.

En ellas tú eres el responsable del tratamiento y Evy el encargado. Las cláusulas van tal como las publicó la Comisión. Donde dan a elegir, se aplica el Reglamento general de protección de datos (Reglamento (UE) 2016/679) y, para cambiar de subencargados, una autorización general con aviso de 30 días. La cláusula 5, que es opcional, no se usa. Lo propio de Evy está en los anexos I a IV, al final.

Sección I. Cláusula 1. Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2. Invariabilidad del pliego de cláusulas

a) Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3. Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4. Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Sección II. Obligaciones de las partes. Cláusula 6. Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7. Obligaciones de las partes. 7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8. Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

1) la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;

2) la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;

3) la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;

4) las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9. Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

1) la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

2) las consecuencias probables de la violación de la seguridad de los datos personales;

3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

Sección III. Disposiciones finales. Cláusula 10. Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

1) el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

2) el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;

3) el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

Anexo I. Lista de partes

Responsable: tú, el cliente que contrata Evy y acepta los Términos y Condiciones al darse de alta.

Nombre, dirección y datos de contacto del responsable: los que figuran en tu cuenta y en tus datos de facturación.

Firma y fecha de adhesión del responsable: la fecha en que marcas, antes de pagar, que aceptas los Términos y Condiciones. La guardamos, con la versión que aceptaste, junto a tu suscripción en nuestro proveedor de pagos.

Encargado: Walter Martín Lopes, que presta el servicio Evy, con NIF 45134320V.

Dirección del encargado: Calle Badajoz 2, 3º Derecha, 10400 Jaraíz de la Vera (Cáceres), España.

Persona de contacto del encargado: Walter Martín Lopes, titular, en contacto@evyagent.com.

No se ha designado delegado de protección de datos.

Firma y fecha de adhesión del encargado: Evy queda obligado por este contrato frente a ti desde la misma fecha en que tú lo aceptas.

Anexo II. Categorías de interesados cuyos datos personales se tratan

Tus clientes y tus proveedores: los que aparecen en tus facturas, presupuestos, albaranes, cobros y pagos.

Las personas que te escriben o con las que hablas por los canales que conectas a tu asistente (correo, WhatsApp, Telegram y similares), incluidos tus clientes si los atiendes por WhatsApp Business.

Las personas que aparecen en tu agenda, en tus reuniones, en tus tareas y en los archivos que le das a tu asistente.

Anexo II. Categorías de datos personales tratados

Datos de identificación y de contacto: nombre, correo, teléfono y dirección, tal como aparezcan en tus documentos, tus mensajes y tu agenda.

Datos de tu facturación: facturas emitidas y recibidas, importes pendientes y vencidos, borradores de recordatorio de cobro, presupuestos, albaranes y productos.

Contenido de las comunicaciones: tus conversaciones con tu asistente y las que mantiene por tus canales, las fotos y archivos que recibes por tus canales, los correos que lee, y las notas de voz y su transcripción.

Agenda y trabajo: citas del calendario, notas y transcripciones de reuniones, tareas y recordatorios.

Lo que le das a tu asistente: los archivos de "Mis archivos" y lo que guarda en su memoria.

Las credenciales y los datos de los programas que conectas a tu asistente, como tu programa de facturación, tu correo o tu calendario.

Anexo II. Datos sensibles tratados (si procede) y restricciones o garantías aplicadas

Evy no está pensado para tratar datos sensibles: los de la cláusula 7.5, como la salud, la ideología, el origen étnico, la vida sexual o las condenas penales. No le pidas a tu asistente que los recoja ni que los guarde.

Si aun así aparecen en una conversación, por ejemplo porque un cliente te cuenta algo de su salud por WhatsApp, se tratan como el resto de tus datos: se guardan en tu servidor y, cuando forman parte de la conversación, se envían al modelo de inteligencia artificial para responder. Las garantías son las mismas que para todo lo demás, descritas en el anexo III: las copias de seguridad cifradas que solo tú puedes abrir y la orden a OpenRouter de no enviar las consultas a proveedores que recogen los datos.

Anexo II. Naturaleza del tratamiento

Guardar tus datos en un servidor privado, solo para ti, en la Unión Europea.

Consultarlos y trabajar con ellos: tu asistente los lee para hacer lo que le pides y escribe en tu servidor lo que prepara, como los borradores de recordatorio de cobro o las tareas de una reunión cuando le dices que sí.

Hablar en tu nombre por los canales que conectas, como WhatsApp o Telegram.

Enviar al modelo de inteligencia artificial lo que necesita para responder: la conversación, las fotos que recibes para que las vea, aquello que le pidas trabajar y lo que le pidas generar, como imágenes o vídeos.

Transcribir tus notas de voz, en tu propio servidor, salvo que elijas en la app otro servicio de transcripción con tu propia clave.

Convertir en voz las respuestas que tu asistente lee en voz alta, cuando usas las respuestas habladas.

Hacer copias de seguridad cifradas.

Llevar a tu servidor los archivos que subes desde el panel, y a tu navegador los que descargas, y hacer pasar las páginas que publica tu asistente.

Enviar a Evy avisos cortos de lo que hace tu asistente (el tipo de acción, la hora y el nombre del archivo, como "presupuesto creado"), sin su contenido, para el registro de actividad del panel. También le llegan el nombre y el identificador en el canal (según el canal, el número de teléfono o el id de Telegram) de quien pide permiso para hablar con tu asistente, para avisarte, y el título, la descripción breve y el nombre corto de las páginas que publica.

Enviarte los correos del servicio, como el aviso de que alguien espera tu permiso para hablar con tu asistente.

Preparar la descarga de tus datos cuando la pides, y borrarlo todo cuando termina el servicio.

Anexo II. Finalidad(es) del tratamiento de los datos personales por cuenta del responsable del tratamiento

Darte el servicio de Evy: que tu asistente trabaje para tu negocio en lo que tú le pidas (llevar tu facturación, preparar tu día, atender tus canales) y que tus datos estén guardados y a salvo.

Evy no usa esos datos para nada propio, no los vende y no los cede.

Anexo II. Duración del tratamiento

Mientras dure tu suscripción, con lo que se dice a continuación.

Durante el servicio, tu servidor borra las conversaciones terminadas cuando llevan 90 días sin actividad, salvo las que fijes en la app y salvo que lo apagues. Las de WhatsApp, Telegram y otros canales no terminan solas.

Las copias de seguridad se guardan según tu plan: en Compañero, las 2 últimas mensuales; en Asistente, las 2 últimas semanales y 2 mensuales; en Profesional, las 2 últimas diarias, 2 semanales y 2 mensuales. Durante el servicio no se borra ninguna copia de menos de una semana, así que se conservan todas las de la última semana.

El registro de actividad del panel guarda los avisos cortos 30 días, y los de incidencias 180 días. Por eso puede durar como mucho esos días más que tu suscripción. Si borras tu cuenta, se borra entonces. El nombre y el identificador de quien pide permiso para hablar con tu asistente se guardan como los avisos cortos, 30 días. El título, la descripción breve y el nombre corto de las páginas que publica tu asistente se guardan mientras existen las páginas y, como mucho, hasta que borras tu cuenta.

Al terminar: si te das de baja, el último día pagado eliminamos tu servidor, sus datos y sus copias de seguridad. Si desistes en los 14 días siguientes a tu primer pago, o si borras tu cuenta, lo hacemos en las horas siguientes. Si la suscripción termina por impago, 10 días después.

Antes del borrado, puedes descargar tus datos desde el panel. Esa descarga es la forma en que te los devolvemos.

Solo damos el borrado por terminado cuando comprobamos que ya no existen tu servidor, su disco de datos, su dirección IP ni tus copias y archivos guardados.

Anexo II. Tratamiento por parte de subencargados: objeto, naturaleza y duración

Los subencargados son los del anexo IV, donde se dice qué hace cada uno.

Hetzner guarda tu servidor, tu disco de datos y tus copias mientras dure el servicio, y los borramos al terminar como se dice arriba.

OpenRouter y el proveedor del modelo reciben el texto y las imágenes de cada consulta, y lo que le pidas generar, solo para responderla o generarlo.

Supabase guarda los archivos en tránsito solo hasta que llegan: los que subes se borran en cuanto tu servidor los recoge; los que descargas, y los que queden, se borran en un repaso diario de los que llevan más de una hora. En la base de datos central guarda los avisos cortos de actividad durante los plazos de arriba (30 días, o 180 los de incidencias), y el título, la descripción breve y el nombre corto de las páginas publicadas mientras existen y, como mucho, hasta que borras tu cuenta.

Vercel aloja el panel y su API, por donde pasan los avisos de actividad y las peticiones del panel a tu servidor, y hace pasar las páginas que publica tu asistente, petición a petición, sin guardarlas.

Microsoft recibe el texto de las respuestas que tu asistente lee en voz alta, cuando usas las respuestas habladas, solo para convertirlo en voz.

Resend recibe cada correo del servicio solo para enviarlo.

Anexo III. Medidas técnicas y organizativas, en especial medidas técnicas y organizativas para garantizar la seguridad de los datos

Un servidor para cada cliente: tus datos viven en un servidor privado que solo usa tu asistente, en un centro de datos de Hetzner en la Unión Europea (Alemania o Finlandia).

Disco de datos cifrado: tus datos se guardan en un disco cifrado con LUKS. Al arrancar, tu servidor pide la clave a Evy, la guarda solo en memoria y, si no llega, no abre el disco. La clave la gestionamos nosotros, así que nuestra infraestructura puede acceder a los datos mientras el servidor funciona.

Copias de seguridad que solo tú puedes abrir: se cifran en tu servidor antes de salir, cada una con su propia clave, protegida con tu frase de recuperación de 12 palabras. La frase se crea en tu navegador y nunca nos llega. Si la pierdes, nadie puede abrir las copias, tampoco nosotros.

Copias íntegras y protegidas: al subir cada copia, el almacenamiento comprueba la suma de control de cada parte, así que solo se acepta si llega entera. Tu servidor no tiene credenciales del almacenamiento: recibe enlaces que caducan a los 15 minutos y solo puede acceder a sus propias copias. Aunque alguien tomara tu servidor, no podría borrar las copias de la última semana ni la primera copia de cada uno de los dos últimos meses.

Comunicación con tu servidor: las órdenes de Evy a tu servidor van autenticadas por los dos lados con certificados (el de tu servidor es propio de cada cliente) y con un permiso firmado que caduca a los 60 segundos.

Claves de los canales: viajan cifradas de extremo a extremo desde tu navegador hasta tu servidor. Nosotros no podemos leerlas.

Archivos en tránsito: los que subes o descargas desde el panel pasan por un almacenamiento temporal, con enlaces que caducan a los 5 minutos y sin que nuestro panel toque su contenido. Los que subes se borran en cuanto tu servidor los recoge; los que descargas, y los que queden, en un repaso diario que elimina los que llevan más de una hora.

Páginas publicadas: su contenido pasa por nuestros sistemas solo mientras se transmite y no se guarda. En el sistema central solo quedan su título, su descripción breve y su nombre corto.

Notas de voz: se transcriben en tu propio servidor y para eso no salen de él, salvo que elijas en la app otro servicio de transcripción con tu propia clave.

Programas conectados: el programa que une tu asistente con tus aplicaciones (Activepieces) funciona dentro de tu servidor, solo se puede usar desde el propio servidor, no envía telemetría y guarda sus datos en el disco cifrado.

Entrada a tu servidor: solo se entra por SSH con clave, nunca con contraseña. Los intentos repetidos se bloquean y las actualizaciones de seguridad se instalan solas. El personal técnico de Evy solo entra en tu servidor para mantenimiento o soporte, con claves de acceso que controla Evy, y esas entradas quedan registradas en el servidor.

Lo mínimo para Evy: de lo que hace tu asistente, a Evy solo le llegan avisos cortos (tipo de acción, hora y nombre del archivo), sin su contenido; el nombre y el identificador en el canal de quien pide permiso para hablar con tu asistente, para avisarte; y el título, la descripción breve y el nombre corto de las páginas que publica. La herramienta interna de soporte que consulta el sistema central solo lee. El panel y tu servidor no usan herramientas de analítica ni de seguimiento de errores de terceros.

Sin proveedores que recogen los datos: el sistema central de Evy envía a tu servidor la orden de que OpenRouter no mande tus consultas a proveedores que recogen los datos, y tu servidor la pasa a OpenRouter en las conversaciones que hace con la cuenta de Evy. Además, la cuenta de Evy en OpenRouter no permite enviar consultas a proveedores que entrenan con los datos, ni en modelos de pago ni en gratuitos. Eso cubre también las imágenes y los vídeos que le pides generar.

Conservación limitada: los plazos de borrado son los del anexo II.

Descarga y borrado: desde el panel puedes descargar tus datos (tus conversaciones, tu memoria, tus archivos y los datos de tu cuenta). La descarga se prepara en tu servidor y se entrega una sola vez; si nadie la recoge, se borra al día. También puedes borrar tu cuenta y tu servidor cuando quieras.

Anexo III. Medidas de los subencargados

Hetzner: guarda tu disco de datos y tus copias de seguridad ya cifrados.

OpenRouter: recibe cada consulta con la orden de no enviarla a proveedores que recogen los datos.

Supabase: guarda los archivos en tránsito con enlaces que caducan a los 5 minutos; los que subes, solo hasta que tu servidor los recoge, y los demás, hasta el repaso diario de los que llevan más de una hora.

Vercel: hace pasar las páginas publicadas sin guardarlas.

Microsoft: recibe solo el texto de las respuestas que se van a leer en voz alta, y solo cuando usas las respuestas habladas.

Resend: recibe solo lo que va en cada correo del servicio que envía.

Cada subencargado trata los datos según nuestras instrucciones y sus propias condiciones de tratamiento de datos.

Anexo III. Cómo te ayuda Evy a cumplir

Derechos de las personas: desde el panel puedes descargar tus datos y borrar tu cuenta y tu servidor. Si una persona nos escribe a nosotros para ejercer sus derechos sobre datos que tratamos por tu cuenta, te pasamos la petición y no la contestamos por nuestra cuenta.

Consultas, evaluaciones de impacto y auditorías: escríbenos a contacto@evyagent.com y te damos la información que tengamos.

Violaciones de la seguridad: si tenemos constancia de una violación de la seguridad que afecte a tus datos, te avisamos sin dilación indebida al correo de tu cuenta, con lo que pide la cláusula 9.2: qué ha pasado, a qué datos y a cuántas personas afecta si se sabe, sus consecuencias probables y lo que hemos hecho o vamos a hacer.

Punto de contacto para más información sobre una violación de la seguridad: contacto@evyagent.com.

Anexo IV. Lista de subencargados del tratamiento

Esta es la lista acordada de la cláusula 7.7, letra a). Si queremos añadir o cambiar un subencargado, te avisaremos por escrito, al correo de tu cuenta, con al menos 30 días de antelación, para que puedas oponerte.

El responsable ha autorizado que se recurra a los subencargados siguientes:

1. Hetzner Online GmbH. País: Alemania, con centros de datos en Alemania (Núremberg y Falkenstein) y Finlandia (Helsinki). Qué hace: aloja tu servidor y su disco de datos cifrado, y guarda tus copias de seguridad cifradas en Núremberg (Alemania).

2. OpenRouter. País: fuera del Espacio Económico Europeo. Qué hace: recibe el texto y las imágenes de cada consulta que tu asistente necesita responder, y lo que le pidas generar (como imágenes o vídeos), y lo pasa al proveedor del modelo.

3. Los proveedores de modelos de inteligencia artificial a los que OpenRouter envía cada consulta, según el modelo en uso. País: en su mayoría fuera del Espacio Económico Europeo; no podemos garantizarte que la consulta se resuelva dentro de la Unión Europea. Qué hacen: reciben el texto y las imágenes de la consulta y generan la respuesta, o lo que le pidas generar.

4. Supabase, sobre infraestructura de Amazon Web Services. Dónde trata tus datos: Alemania (Fráncfort). Qué hace: guarda los archivos en tránsito entre el panel y tu servidor, y la base de datos central, donde están los avisos cortos de actividad de tu asistente, el nombre y el identificador en el canal de quien pide permiso para hablar con tu asistente, y el título, la descripción breve y el nombre corto de las páginas que publica.

5. Vercel. Dónde trata tus datos: sus funciones se ejecutan en Fráncfort (Alemania). Qué hace: aloja el panel y su API, por donde pasan los avisos de actividad de tu servidor y las peticiones del panel a tu servidor, y hace pasar, sin guardarlas, las páginas que publica tu asistente y lo que se guarda desde ellas.

6. Microsoft. Qué hace: pone la voz por defecto de tu asistente. Cuando usas las respuestas habladas, recibe el texto de las respuestas que tu asistente lee en voz alta y lo convierte en voz.

7. Resend. Qué hace: envía los correos del servicio, incluidos los avisos que pueden llevar el nombre de quien pide permiso para hablar con tu asistente.

Contacto de cada subencargado: a través de Evy, en contacto@evyagent.com.

No son subencargados de Evy los programas que conectas (tu programa de facturación, tu correo, tu calendario), las plataformas de mensajería en las que usas tus propias cuentas (WhatsApp, Telegram y similares) ni el proveedor de inteligencia artificial si usas tus propias claves. Los contratas tú, con sus condiciones. Tampoco lo son los buscadores y las webs que tu asistente consulta cuando le pides buscar algo.