Acuerdo de tratamiento de datos

1. Quién es quién

En todo lo que el cliente carga en su espacio y en las conversaciones que su empleado de IA mantiene, el cliente es el responsable del tratamiento y Sumanos (Lamalta LLC) es el encargado. El cliente decide qué datos entran, con qué finalidad y sobre qué base legal; Sumanos solo los trata para prestar el servicio.

Para los datos de la propia cuenta —quién se registró, facturación, uso de la plataforma— Sumanos actúa como responsable, y eso se rige por la Política de privacidad.

Este acuerdo se integra a los Términos de servicio y aplica automáticamente a todo cliente que use Sumanos para tratar datos personales. No hace falta firmarlo aparte; si el cliente necesita una copia firmada, la pedimos a gonzalo@sumanos.com.

2. Objeto, duración y alcance

Objeto: la prestación de Sumanos, esto es, alojar y operar empleados de IA que conversan, consultan y ejecutan tareas por cuenta del cliente.

Duración: mientras la cuenta esté activa, más el plazo de conservación posterior que se indica en la sección 8.

Naturaleza y finalidad: almacenamiento, consulta, análisis mediante modelos de lenguaje, transmisión a los canales e integraciones que el cliente conecte, y respaldo.

Tipos de datos: los que el cliente decida cargar o que lleguen por sus canales. Típicamente datos de contacto, contenido de conversaciones, documentos de negocio y metadatos técnicos.

Categorías de interesados: clientes finales del cliente, sus empleados, proveedores y cualquier persona que escriba a uno de sus canales.

3. Instrucciones

Sumanos trata los datos únicamente siguiendo las instrucciones documentadas del cliente. La configuración del espacio, los canales conectados y el uso del producto constituyen esas instrucciones.

Si una instrucción nos parece contraria a la normativa aplicable, lo comunicamos y podemos suspender su ejecución hasta resolverlo.

Sumanos no vende datos del cliente, no los usa para publicidad y no los usa para entrenar modelos propios ni de terceros.

4. Confidencialidad

El acceso a datos del cliente está limitado al personal que lo necesite para operar o dar soporte al servicio, sujeto a obligaciones de confidencialidad que sobreviven al fin de la relación.

El acceso de soporte a una máquina de un cliente queda registrado.

5. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre ellas: aislamiento por cliente —cada empleado corre en su propia máquina virtual—, cifrado en tránsito, control de acceso por cuenta con alcance verificado en cada operación, gestión de secretos fuera del código y del repositorio, y monitoreo con alertas.

Las credenciales que el cliente carga para sus integraciones viven en la máquina de su empleado y no se guardan en nuestra base de datos ni en registros.

Ninguna medida elimina el riesgo por completo. La sección 10 explica qué pasa si algo falla.

6. Subencargados

El cliente autoriza a Sumanos a contratar subencargados. La lista vigente, con la finalidad y la región de cada uno, se publica en sumanos.com/legal/subencargados.

Avisamos por correo con al menos 30 días de anticipación antes de sumar uno nuevo. El cliente puede oponerse por motivos razonables de protección de datos y, si no encontramos una alternativa, rescindir sin penalidad la parte del servicio afectada.

Cada subencargado queda obligado por escrito a condiciones de protección no menos exigentes que las de este acuerdo. Sumanos responde frente al cliente por el cumplimiento de sus subencargados.

7. Transferencias internacionales

La prestación del servicio implica transferir datos fuera del país del cliente, en particular a Estados Unidos y a la Unión Europea, y a otras jurisdicciones si el cliente activa un proveedor de modelos alojado en ellas.

Para esas transferencias nos apoyamos en las Cláusulas Contractuales Tipo de la Comisión Europea y en los mecanismos equivalentes que resulten aplicables, junto con las medidas técnicas descritas en la sección 5.

El cliente puede acotar dónde se procesan sus datos eligiendo la región de alojamiento y el proveedor de modelos.

8. Devolución y supresión

El cliente puede exportar o eliminar los datos de su espacio en cualquier momento desde la plataforma.

Al terminar la relación, y salvo que el cliente pida otra cosa dentro de los 30 días siguientes, eliminamos los datos de su espacio. Las copias de seguridad que todavía los contengan se sobrescriben en un plazo máximo de 90 días.

Conservamos lo que la ley nos obligue a conservar —típicamente registros de facturación— y nada más.

9. Derechos de los interesados y asistencia

Las solicitudes de acceso, rectificación, supresión, limitación, portabilidad u oposición las atiende el cliente, que es quien conoce el contexto de sus datos. La plataforma le da las herramientas para localizarlos, exportarlos y borrarlos.

Si una solicitud nos llega directamente, la derivamos al cliente sin responderla por nuestra cuenta.

Asistimos razonablemente al cliente en evaluaciones de impacto y consultas previas a la autoridad de control, en la medida en que dependan de información que solo nosotros tenemos.

10. Incidentes de seguridad

Si detectamos una violación de la seguridad que afecte datos personales del cliente, se lo notificamos sin dilación indebida y, a más tardar, dentro de las 72 horas de haberlo conocido.

La notificación incluye lo que sepamos en ese momento: naturaleza del incidente, categorías y volumen aproximado de datos afectados, consecuencias probables y medidas tomadas o propuestas. Si no tenemos todo, lo enviamos por partes.

Notificar a la autoridad de control y a los interesados, cuando corresponda, es responsabilidad del cliente.

11. Auditoría

A pedido, entregamos la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo.

El cliente puede auditar, por sí o por un tercero independiente sujeto a confidencialidad, una vez por año calendario, con 30 días de aviso, en horario laboral y sin interrumpir el servicio ni comprometer la seguridad o los datos de otros clientes. Cada parte asume sus propios costos.

12. Decisiones automatizadas

Los empleados de IA generan respuestas y ejecutan tareas de forma automática. Sumanos no los diseña para tomar decisiones que produzcan efectos jurídicos o afecten significativamente a una persona.

Si el cliente los configura para algo así, es él quien debe contar con la base legal, informar al interesado y garantizar la intervención humana que exija la normativa.