Legal · UK GDPR & EU GDPR Art. 28
Acuerdo de tratamiento de datos
Cómo funciona
- Tú (el comerciante) eres el responsable de los datos de tus clientes. Kosmly es tu encargado del tratamiento.
- Aceptas este DPA con un clic al instalar una aplicación de Kosmly. Los clientes Universe pueden firmar una versión personalizada.
- Los datos se quedan en la UE, nunca se usan para entrenar IA y se borran 30 días después de que te vayas.
1. Partes y ámbito
Este acuerdo se celebra entre el comerciante que usa Kosmly («Responsable») y Kosmly Ltd, sociedad registrada en Inglaterra y Gales (n.º [number]), domicilio social [address], IVA [GB number] («Encargado»). Cumple el artículo 28 del UK GDPR y del RGPD, según cuál se aplique al Responsable. Se aplica a todos los datos personales que el Encargado trata por cuenta del Responsable a través del servicio Kosmly y forma parte de los Términos del servicio. Si este DPA y los Términos se contradicen, en materia de protección de datos prevalece este DPA.
2. Detalles del tratamiento
El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de datos y de interesados, se describen en el Anexo I.
3. Obligaciones del Encargado
- Instrucciones. El Encargado trata los datos personales solo siguiendo instrucciones documentadas del Responsable, que son los Términos, este DPA y los ajustes del Responsable en Kosmly. Avisa al Responsable si considera que una instrucción infringe la ley.
- Confidencialidad. Toda persona con acceso está sujeta a confidencialidad y formada en protección de datos y alfabetización en IA.
- Seguridad. El Encargado aplica las medidas del Anexo II (art. 32 RGPD).
- Minimización. Los agentes solo reciben los datos que necesitan. Los nombres, correos y teléfonos se sustituyen por marcadores antes de enviar un texto a un modelo de IA, cuando la tarea lo permite.
- Sin entrenamiento. Los datos personales nunca se usan para entrenar ni mejorar modelos de IA, ni por el Encargado ni por sus subencargados.
- Solicitudes de los interesados. El Encargado ayuda al Responsable a atender solicitudes de acceso, rectificación, supresión o exportación, también mediante los webhooks de privacidad obligatorios de las plataformas.
- Brechas. El Encargado avisa al Responsable sin dilación indebida y, en todo caso, en las 48 horas siguientes a tener conocimiento de una violación de datos personales, con la información que el Responsable necesita para su propia notificación del art. 33.
- Asistencia. El Encargado ayuda al Responsable en las evaluaciones de impacto (art. 35) y en las consultas previas relacionadas con Kosmly.
- Fin del servicio. En los 30 días siguientes al fin del servicio, el Encargado borra todos los datos personales, o los devuelve si se le solicita, salvo que la ley obligue a conservarlos.
- Auditorías. El Encargado facilita la información necesaria para demostrar el cumplimiento y permite una auditoría al año con 30 días de preaviso, o tras una brecha.
4. Subencargados
El Responsable otorga una autorización general para los subencargados del Anexo III. El Encargado impone a cada uno, por contrato, las mismas obligaciones de protección de datos. Anuncia cualquier nuevo subencargado con al menos 30 días de antelación, por correo y en esta página. El Responsable puede oponerse por motivos razonables; si no se encuentra una solución, puede terminar el servicio afectado con un reembolso proporcional.
5. Transferencias internacionales
Los datos personales se guardan y tratan en la UE/EEE. El Encargado tiene su sede en el Reino Unido, que cuenta con una decisión de adecuación de la UE; el acceso remoto de su personal británico se basa en esa decisión. Cualquier otra transferencia se realiza solo con una decisión de adecuación, las Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión) o, para datos británicos, el International Data Transfer Agreement o Addendum, con una evaluación del riesgo de la transferencia y garantías adicionales cuando sea necesario.
6. Responsabilidad
La responsabilidad de cada parte conforme a este DPA está sujeta a los límites de los Términos del servicio, salvo que el artículo 82 del UK GDPR o del RGPD disponga otra cosa.
Anexo I · Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Finalidad | Hacer funcionar los agentes de IA que active el Responsable: contenidos (Vega), SEO (Sirius), traducción (Lyra), precios (Orion) y más adelante imágenes, redes sociales, correo, carritos, atención al cliente, reseñas, inventario, analítica y publicidad. |
| Interesados | Clientes y clientes potenciales del Responsable, visitantes de la tienda que usan el chat de soporte y personal del Responsable. |
| Categorías de datos | Nombre, correo, teléfono, dirección de envío y facturación, historial de pedidos, contenido de reseñas y chats, estado del consentimiento. No se prevén categorías especiales (art. 9). |
| Naturaleza | Almacenamiento, consulta, análisis y generación de textos o imágenes con modelos de IA, según el nivel de autonomía elegido por el Responsable. |
| Duración | Durante la suscripción, más 30 días. |
| Conservación de registros de IA | El texto completo enviado a los modelos de IA y recibido de ellos no se guarda como registro. El registro de uso de cada llamada de IA (modelo, tokens, coste, sin texto) se conserva 90 días y después solo como totales mensuales durante 13 meses. El historial de acciones de los agentes en Mission Control y el registro de auditoría se conservan 24 meses, los correos salientes 90 días y los chats de soporte 30 días. Todo se borra con la cuenta. |
| Visitas desde asistentes de IA | Contadores diarios anónimos por tienda: día, asistente de IA y página de llegada. Sin cookies, sin dirección IP, sin identificador del visitante, por tanto sin datos personales. Se borran con la cuenta de la tienda. |
| IndexNow | Las URL públicas de las páginas modificadas se envían a api.indexnow.org para que los buscadores las actualicen. Sin datos personales. |
| Google Merchant Center (opcional) | Si el Responsable lo conecta, Orion lee solo los informes de precios (precios de mercado de productos). Sin datos personales. |
| Lista de supresión de email | Para los emails rechazados o marcados como spam se guardan solo un hash SHA-256 de la dirección y el motivo, para no volver a escribir a esa dirección. Datos seudonimizados, conservados tras el fin de la suscripción solo con este fin. |
Anexo II · Medidas técnicas y organizativas
- Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
- Separación estricta de los datos de cada comerciante, impuesta en la base de datos.
- Acceso por roles, autenticación de dos factores y mínimo privilegio para el personal; los accesos quedan registrados.
- Seudonimización de los datos personales antes de que lleguen a los modelos de IA, cuando la tarea lo permite.
- Copias de seguridad cifradas diarias en la UE, con restauraciones probadas.
- Gestión de vulnerabilidades, control de dependencias y un contacto público de seguridad (security@kosmly.app), conforme al Cyber Resilience Act.
- Procedimiento escrito de respuesta a incidentes y brechas, probado al menos una vez al año.
- Formación del personal en protección de datos y alfabetización en IA (art. 4 del Reglamento de IA).
Anexo III · Subencargados
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Scaleway SAS | Alojamiento de la aplicación, base de datos gestionada, copias de seguridad cifradas; sus Generative APIs (modelos de IA abiertos) solo para revisar textos o como reserva de emergencia | París, Francia (UE) |
| Amazon Web Services EMEA SARL (Amazon Bedrock) | Modelos de IA (Anthropic Claude) que escriben textos, SEO y traducciones. Recibe el texto de la tarea, con nombres, correos y teléfonos ocultos siempre que la tarea lo permite; sin entrenamiento y sin conservación de prompts por parte del proveedor | Fráncfort, Alemania (UE) |
| Google Cloud EMEA Limited (Vertex AI) | Los mismos modelos Claude en una región de la UE, los modelos Gemini que revisan los textos y los modelos de imagen. Mismos datos y mismo ocultamiento; sin entrenamiento | Regiones de la UE (Países Bajos y otros centros de datos de la UE) |
| Microsoft Ireland Operations Limited (Azure OpenAI) | Un modelo GPT que pule los textos terminados para que suenen naturales y, si está activada, la generación de imágenes. Recibe solo el texto terminado; sin entrenamiento | France Central, París (UE) |
| Requesty Ltd | Enrutado de IA: envía cada llamada a los despliegues en la UE de los proveedores anteriores a través de su punto de acceso de Fráncfort y devuelve la respuesta. El texto solo pasa en tránsito; sin entrenamiento | Fráncfort, Alemania (punto de acceso UE) |
| Mistral AI SAS | Revisión de textos y modelos de IA de reserva cuando el principal no está disponible; sin entrenamiento | Francia (UE) |
| Anthropic, PBC (Claude API) | Última reserva para el mismo modelo Claude, solo si está activada y fallan todas las vías de la UE anteriores; sin entrenamiento | Estados Unidos; EU-US Data Privacy Framework y cláusulas contractuales tipo |
| Sendinblue SAS (Brevo) | Correos al personal del Responsable; más adelante, correos que Comet y Halley envían por cuenta del Responsable | Francia (UE) |
| DataForSEO OU | Datos de búsqueda (posiciones, volúmenes de palabras clave, competidores). Recibe solo palabras clave, dominios y direcciones de páginas públicas: ningún dato personal | Tallin, Estonia (UE) |
| Cloudflare, Inc. | DNS de kosmly.app y sus subdominios, y alojamiento del sitio público. Ve la dirección IP de cada solicitud, que Kosmly no recibe ni guarda | Red global; EU-US Data Privacy Framework y cláusulas contractuales tipo |
Las solicitudes de soporte se gestionan dentro de Kosmly, en la infraestructura indicada arriba. Los servicios que el Responsable conecta por su cuenta (por ejemplo Google Search Console, Google Analytics, Merchant Center, Perfil de Empresa, redes sociales, Klaviyo, Trustpilot u Okendo) reciben datos por instrucción del Responsable, según sus propias condiciones con él; no son subencargados de Kosmly.
Contacto para este acuerdo: privacy@kosmly.app.