Acuerdo de tratamiento de datos

La organización cliente que opera un workspace de newsroom es el responsable del tratamiento. Entro314 Labs Single Member P.C. es el encargado del tratamiento. Este acuerdo surte efecto cuando el cliente acepta los Términos y dura mientras exista el workspace. No hace falta una firma aparte para que vincule; se emite copia en papel firmada por ambas partes a petición.

ErmisAI trata datos personales para operar el workspace de newsroom que el cliente contrata: monitoriza las fuentes configuradas, agrupa la cobertura, redacta historias, las encamina por la revisión editorial y entrega el resultado aprobado a las superficies de publicación que el cliente conecta. El tratamiento dura el plazo de la suscripción más los periodos de transición y borrado descritos en la página de portabilidad y salida de datos.

Los interesados son los redactores, administradores y miembros invitados del cliente, además de cualquier persona citada en el material de origen que un newsroom monitoriza o en los borradores que escriben sus redactores. Las categorías son:

• datos de identidad y de cuenta – nombre, dirección de correo, rol, pertenencia al workspace,
• datos de uso – acciones en el workspace, historial de historias y borradores, registros de auditoría,
• datos de contenido – artículos de origen, cluster, borradores e historias aprobadas, incluidos los datos personales que mencionen,
• datos técnicos – dirección IP, metadatos de dispositivo y navegador recogidos en los registros de seguridad y de errores.

ErmisAI trata los datos personales únicamente siguiendo instrucciones documentadas del cliente. Los Términos, este acuerdo, los ajustes del producto que configura el cliente y las acciones que sus redactores realizan en el workspace son esas instrucciones. Si el Derecho de la UE o de un Estado miembro obliga a ErmisAI a tratar datos más allá de ellas, informa al cliente antes de hacerlo salvo que esa norma prohíba el aviso. ErmisAI avisa al cliente si una instrucción parece infringir la normativa de protección de datos.

Todo el personal autorizado para tratar datos personales del cliente está sujeto a confidencialidad y solo accede a lo que su trabajo exige. El acceso a los datos de producción está limitado al operador del servicio y queda registrado.

ErmisAI mantiene medidas técnicas y organizativas adecuadas al riesgo, incluidos cifrado en tránsito, almacenamiento cifrado en los proveedores de alojamiento, control de acceso basado en roles, aislamiento por tenant en todas las rutas de lectura y escritura, verificación de firma en los webhook entrantes y limitación de tasa. La página de seguridad describe las medidas y dice claramente qué no se afirma.

El cliente otorga autorización general para los subencargados del tratamiento que figuran en la página de subencargados, que nombra a cada proveedor, su función y su región de tratamiento. ErmisAI les impone obligaciones de protección de datos equivalentes y sigue siendo plenamente responsable de su actuación. Los subencargados nuevos o sustituidos se anuncian en esa página antes de que empiecen a tratar datos, y el cliente puede oponerse por motivos razonables de protección de datos; una objeción sin resolver da derecho al cliente a resolver el servicio afectado sin penalización.

Teniendo en cuenta la naturaleza del tratamiento, ErmisAI asiste al cliente en:

• la respuesta a las solicitudes de los interesados, incluidos el acceso, la rectificación, la supresión y la portabilidad – la mayoría de las cuales el cliente puede atender por sí mismo desde el workspace,
• la seguridad del tratamiento, la notificación de violaciones de la seguridad de los datos personales y las evaluaciones de impacto relativas a la protección de datos,
• la consulta previa a la autoridad de control cuando sea preceptiva.

ErmisAI notifica al cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos de ese cliente, con la información que el cliente necesita para su propia notificación conforme al artículo 33, y le mantiene informado a medida que avanza la investigación.

ErmisAI pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 y permite auditorías, incluidas inspecciones, realizadas por el cliente o por un auditor que este designe. Las auditorías se programan con un preaviso razonable, como máximo una vez al año salvo que un incidente o una autoridad de control exijan otra cosa, y no deben comprometer la seguridad de otros clientes.

El tratamiento se mantiene en la Unión Europea o en el Espacio Económico Europeo siempre que el proveedor lo ofrezca. Cuando un subencargado del tratamiento transfiere datos fuera del EEE, la transferencia se ampara en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea con medidas complementarias. La página de subencargados del tratamiento indica la región en la que opera cada proveedor.

Al finalizar el contrato, el cliente elige si los datos personales se devuelven o se suprimen. Los datos siguen siendo legibles durante el periodo de transición descrito en la página de portabilidad de datos y salida para que puedan completarse las exportaciones, y después se eliminan, salvo cuando el Derecho de la Unión o de un Estado miembro exija su conservación – los registros de facturación son el caso habitual.

Cuando este acuerdo entra en conflicto con los Términos en materia de tratamiento de datos personales, prevalece este acuerdo. Un acuerdo negociado y firmado con un cliente prevalece sobre ambos. Los cambios sustanciales se publican en esta página con una nueva fecha de entrada en vigor y se comunican a los clientes con una suscripción activa.