Anexo de tratamiento de datos

1. Qué es este anexo y cómo entra en vigor

Este Anexo de Procesamiento de Datos (el "DPA") forma parte de los Términos de servicio (los "Términos") entre usted (o la organización que representa) y Hedgeling LLC, una compañía de responsabilidad limitada de Utah ("Hedgeling", "nosotros"). Se aplica siempre que procesemos Datos Personales del Cliente en su nombre al prestar el Servicio.

No necesita firmar nada para que se aplique este DPA. Entra en vigor automáticamente cuando acepta los Términos y dura mientras procesemos Datos Personales del Cliente. Si su organización necesita una copia firmada por ambas partes, envíe un correo electrónico a support@thehedgeling.com y le enviaremos una.

Si tiene un contrato Enterprise u otro acuerdo firmado con nosotros que contenga sus propios términos de tratamiento de datos, se aplicarán dichos términos en lugar de esta DPA. De lo contrario, si esta DPA y los Términos entran en conflicto sobre el manejo de datos personales, prevalecerá esta DPA.

2. Definiciones

• Contenido del cliente tiene el significado establecido en los Términos: las cadenas de origen, el contexto de código, traducciones, glosarios, personas, guías de estilo, documentos y otros materiales que envíe al Servicio.
• Datos Personales del Cliente se refiere a los datos personales contenidos en el Contenido del Cliente que procesamos en su nombre.
• Leyes de Protección de Datos se refiere a las leyes que aplican al tratamiento de Datos Personales del Cliente en virtud de esta DPA. Según el lugar donde se encuentren usted y las personas afectadas, estas pueden incluir el Reglamento General de Protección de Datos (RGPD) de la UE, el RGPD del Reino Unido, la Ley Federal Suiza de Protección de Datos y las leyes estatales de privacidad de EE. UU. como la Ley de Privacidad del Consumidor de California.
• Subencargado significa un tercero que contratamos para procesar Datos Personales del Cliente.
• Cláusulas Contractuales Tipo se refiere a las cláusulas anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.
• Adenda del Reino Unido se refiere a la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo emitida por el Comisionado de Información del Reino Unido.

Los términos "responsable", "encargado", "datos personales", "tratamiento", "interesado" y "violación de la seguridad de los datos personales" tienen el significado otorgado en el RGPD e incluyen los términos equivalentes de otras Leyes de Protección de Datos, como "empresa" y "proveedor de servicios". Los demás términos con mayúscula tienen el significado establecido en los Términos.

3. Roles

Para los Datos Personales del Cliente, usted es el controlador y Hedgeling es su encargado del tratamiento. Si usted es a su vez un encargado que actúa para otra persona, Hedgeling es su subencargado, y usted confirma que sus instrucciones hacia nosotros están autorizadas por el controlador.

Este DPA no cubre los datos que manejamos como responsable por derecho propio: datos de cuenta, registros de uso y facturación, credenciales, registros de seguridad e historial, y analítica web. La Privacidad describe qué hacemos con esos datos.

Si conecta su propia clave de proveedor de IA, ese proveedor procesa sus datos según el contrato que usted tenga con él. Es su proveedor, no nuestro subencargado. Cuando ejecuta el paquete de línea de comandos en su propia máquina con su propia clave, los datos van directamente desde su equipo a dicho proveedor y nosotros no los procesamos en absoluto.

4. Detalles del tratamiento

• Objeto y finalidad: prestarle el Servicio: extraer, almacenar, traducir, revisar y entregar sus cadenas, así como proteger y dar soporte al Servicio.
• Naturaleza del procesamiento: alojamiento y almacenamiento, envío de cadenas y contexto a proveedores de IA para traducción y chat, visualización de contenido a los usuarios que autorice, lectura y escritura en los repositorios que conecte, copia de seguridad y eliminación.
• Duración: mientras exista su espacio de trabajo y, posteriormente, hasta que se complete la eliminación según se describe en la sección 11.
• Tipos de datos personales: cualquier dato personal que incluya en el Contenido del Cliente. El Contenido del Cliente consiste principalmente en texto de interfaz, por lo que normalmente se limita a nombres, direcciones de correo electrónico e identificadores similares que aparecen en cadenas de origen, contexto de código, glosarios, documentos importados, comentarios de revisión o mensajes de chat de la consola.
• Sujetos de datos: las personas a las que se refieren los datos personales, por ejemplo, sus empleados, contratistas y los usuarios finales de sus productos.
• Datos sensibles: el Servicio no está diseñado para categorías especiales de datos personales, datos de salud, datos de tarjetas de pago o identificadores gubernamentales, y usted acepta no incluirlos en el Contenido del Cliente.

5. Sus instrucciones

Procesamos los Datos Personales del Cliente únicamente según sus instrucciones documentadas. Los Términos, este DPA y la forma en que usted y sus usuarios configuran y usan el Servicio constituyen sus instrucciones completas. Si requiere algo diferente, consúltenos en support@thehedgeling.com y le informaremos si es posible.

Le notificaremos si consideramos que una instrucción infringe las Leyes de Protección de Datos, y podremos pausar dicho procesamiento hasta que confirme o modifique la instrucción. Si una ley nos exige procesar los Datos Personales del Cliente de otra manera, se lo informaremos antes de hacerlo, a menos que dicha ley lo prohíba.

No vendemos ni compartimos los Datos Personales del Cliente, no los utilizamos para entrenar modelos de IA y no los conservamos, usamos ni divulgamos para ningún otro fin que no sea prestar, proteger, dar soporte y mejorar el Servicio para usted, según se describe en los Términos.

6. Confidencialidad

El acceso a los Datos Personales del Cliente se limita a las personas que lo necesitan para operar y dar soporte al Servicio, y toda persona autorizada por nosotros para su procesamiento está sujeta a un deber de confidencialidad.

7. Medidas de seguridad

Protegemos los Datos Personales del Cliente mediante cifrado en tránsito (HTTPS) y en reposo, control de acceso basado en roles, aislamiento de inquilinos, almacenamiento cifrado de claves de proveedores, almacenamiento mediante hash de credenciales del servicio, concesiones temporales de derechos firmadas, limitación de tasa y registro de auditoría.

Podemos modificar estas medidas a medida que el Servicio evolucione, pero no reduciremos de manera sustancial el nivel general de protección. Usted es responsable del uso que haga del Servicio, lo que incluye elegir qué enviar, gestionar quién tiene acceso a su espacio de trabajo y mantener seguras sus credenciales y claves API.

8. Subencargados

Nos otorga una autorización general para recurrir a Subencargados, incluidos los indicados en la sección 17. Utilizamos a cada Subencargado mediante un acuerdo escrito que exige la protección de datos personales y mantenemos nuestra responsabilidad ante usted por sus actividades.

Antes de agregar o reemplazar a un Subencargado, actualizaremos la lista de la sección 17 y notificaremos al propietario de su espacio de trabajo por correo electrónico o en la consola al menos 30 días antes de que comience el procesamiento de Datos Personales del Cliente. Si debemos reemplazar a un Subencargado de urgencia por motivos de seguridad o continuidad, lo notificaremos a la brevedad posible.

Puede oponerse a un nuevo subprocesador por motivos justificables de protección de datos escribiendo a support@thehedgeling.com dentro del plazo de notificación. Trabajaremos de buena fe con usted para encontrar una alternativa, como una forma de usar el Servicio sin ese subprocesador. Si no encontramos ninguna, puede dejar de usar la función afectada o cancelar el Servicio según se describe en los Términos.

9. Solicitudes de particulares y otra asistencia

Puede ver, corregir, exportar y eliminar el Contenido del Cliente en la consola en cualquier momento, y usar esas herramientas para responder solicitudes de personas que ejerzan sus derechos. Si una persona nos contacta sobre Datos Personales del Cliente, le reenviaremos la solicitud o le pediremos que se comunique con usted; no responderemos directamente a menos que la ley lo exija.

Teniendo en cuenta la naturaleza del procesamiento y la información disponible, le brindaremos asistencia razonable en las evaluaciones de impacto de protección de datos y en las consultas con las autoridades reguladoras cuando las Leyes de Protección de Datos lo exijan.

10. Brechas de datos personales

Si detectamos una violación de datos personales que afecte a los Datos Personales del Cliente, notificaremos al propietario de su espacio de trabajo por correo electrónico sin dilación indebida. Le informaremos sobre lo sucedido, los datos afectados, las consecuencias probables y las medidas adoptadas, manteniéndolo actualizado. Tomaremos medidas razonables para contener la vulneración y limitar sus efectos.

La notificación de una vulneración no constituye una admisión de culpa o responsabilidad. Usted es responsable de las notificaciones que deba realizar a reguladores o personas; le facilitaremos la información disponible para ayudarle a realizarlas.

11. Eliminación y devolución

Puede exportar sus catálogos en cualquier momento. Cancelar una suscripción no elimina sus datos: conserva el acceso de lectura y exportación verificada durante un periodo de gracia de al menos 30 días, y conservamos el Contenido del Cliente hasta que solicite su eliminación.

La eliminación comienza cuando un usuario autorizado solicita la eliminación de un proyecto u organización en la consola. Esa solicitud abre una ventana de 30 días solo para exportación. Tras ese periodo, purgamos el contenido: cadenas de origen, traducciones, contexto, glosarios, prompts, personas, documentos importados, datos de chat y IA, y capturas de contenido en registros de auditoría. El contenido purgado puede permanecer en copias de seguridad cifradas por un breve periodo (actualmente hasta siete días) antes de que expiren.

Tras la eliminación, solo conservamos los registros mínimos de facturación, seguridad y auditoría descritos en la Privacidad, habiendo retirado el contenido. Si no puede usar la consola para exportar o eliminar sus datos, envíe un correo a support@thehedgeling.com y le ayudaremos.

12. Información y auditorías

A solicitud por escrito, le proporcionaremos la información razonablemente necesaria para demostrar que cumplimos con nuestras obligaciones en virtud de este ADV, incluidas las respuestas a un cuestionario de seguridad razonable. A menos que un regulador exija más o haya ocurrido una vulneración de datos personales que afecte a sus datos, puede solicitarlo una vez en cualquier periodo de 12 meses.

Si las Leyes de Protección de Datos le otorgan derechos más amplios que esa información, podrá solicitar una auditoría. Esta requiere una notificación por escrito de al menos 30 días y un alcance acordado, se realiza en horario laboral normal, corre por su cuenta, está sujeta a confidencialidad y no debe exponer datos de otros clientes ni interrumpir el Servicio. Dado que el Servicio funciona en infraestructura de Amazon Web Services, no podemos darle acceso físico a los centros de datos.

13. Transferencias internacionales

La consola está alojada en AWS en los Estados Unidos, y nuestros Subencargados del tratamiento pueden procesar datos en los Estados Unidos y otros países. Al usar el Servicio, usted nos instruye a procesar los Datos personales del cliente en esas ubicaciones.

Cuando nos transfiera Datos personales del cliente protegidos por el RGPD y la transferencia no esté cubierta por una decisión de adecuación, las Cláusulas Contractuales Tipo se incorporan a esta DPA y se aplican de la siguiente manera:

• El Módulo dos (responsable a encargado) se aplica si usted es un responsable, y el Módulo tres (encargado a encargado) se aplica si usted es un encargado.
• Usted es el exportador de datos y Hedgeling es el importador de datos.
• La cláusula de incorporación opcional (Cláusula 7) y la redacción opcional de la Cláusula 11 no se aplican.
• Para la Cláusula 9, se aplica la autorización general por escrito, con el plazo de notificación establecido en la sección 8.
• Para las Cláusulas 17 y 18, la legislación aplicable es la de Irlanda y los tribunales son los tribunales de Irlanda.
• El Anexo I se completa con la información de las secciones 1, 3 y 4, el Anexo II con la sección 7 y el Anexo III con la sección 17. La autoridad de control competente es la determinada en virtud de la Cláusula 13.

Para las transferencias protegidas por el RGPD del Reino Unido, el Anexo del Reino Unido se incorpora a esta DPA y sus tablas se completan con la misma información; ninguna de las partes puede dar por finalizado el Anexo del Reino Unido en virtud de su sección 19. Para las transferencias protegidas por la legislación suiza, se aplican las Cláusulas Contractuales Tipo, entendiéndose las referencias al RGPD como referencias a la Ley Federal de Protección de Datos de Suiza y al Comisionado Federal de Protección de Datos e Información de Suiza como autoridad de control.

Si las Cláusulas Contractuales Tipo o el Anexo del Reino Unido entran en conflicto con el resto de esta DPA o con los Términos, prevalecerán las Cláusulas Contractuales Tipo o el Anexo del Reino Unido.

14. Sus responsabilidades

Usted es responsable de los Datos personales del cliente que envíe: de contar con una base legal y cualquier aviso o consentimiento necesario para enviarlos, de su exactitud y de garantizar que sus instrucciones para nosotros cumplan con las Leyes de protección de datos. Procure no incluir datos personales en el Contenido del cliente siempre que sea posible.

15. Responsabilidad y ley aplicable

La responsabilidad de cada parte en virtud de esta DPA está sujeta a la limitación de responsabilidad de la sección 15 de los Términos. Nada en esta DPA limita los derechos de las personas en virtud de las Cláusulas Contractuales Tipo ni ninguna responsabilidad que no pueda limitarse por ley.

Esta DPA se rige por la ley que rige los Términos, y las controversias se gestionan según lo descrito en los Términos, excepto cuando las Cláusulas Contractuales Tipo o el Anexo del Reino Unido exijan lo contrario.

16. Cambios a este anexo

Podemos actualizar esta DPA cuando cambien el Servicio, nuestros Subencargados del tratamiento o la legislación. Cada versión incluye una fecha de versión en la parte superior de esta página. En caso de cambios sustanciales, avisaremos con al menos 30 días de antelación por correo electrónico o en la consola antes de que la nueva versión entre en vigor. Los cambios en los Subencargados del tratamiento siguen lo dispuesto en la sección 8.

17. Subprocesadores actuales

Estos son los proveedores que utilizamos actualmente para prestar el Servicio y la función que cumple cada uno.

• Amazon Web Services (AWS): alojamiento, bases de datos, almacenamiento y copias de seguridad para la consola, y Amazon Cognito para la creación de cuentas, inicio de sesión, almacenamiento de contraseñas y correos electrónicos de verificación. Ubicado en los Estados Unidos.
• Google (Gemini): Inferencia de IA. Cuando usa IA administrada con la clave de nuestra plataforma y Gemini es el proveedor seleccionado, las cadenas, el contexto y los mensajes de chat de la solicitud se envían a su API.
• Meta (Llama): Inferencia de IA. Cuando usa IA administrada con la clave de nuestra plataforma y Llama es el proveedor seleccionado, las cadenas, el contexto y los mensajes de chat de la solicitud se envían a su API.
• GitHub: al conectar un repositorio, leemos los archivos de origen que elija y, a solicitud suya, abrimos pull requests con traducciones, usando los permisos que nos otorgue.
• Stripe: pago, métodos de pago, facturas y el portal de facturación de clientes.
• Google Workspace: correo enviado a nuestras direcciones de soporte y ventas.

Stripe y Google Workspace gestionan detalles de facturación y correspondencia, no Contenido del Cliente. Se enumeran aquí para coincidir con la Privacidad. Los proveedores de IA que conecte con su propia clave no están en esta lista porque actúan para usted, no para nosotros.

18. Contacto

Preguntas sobre este DPA, solicitudes de copia firmada y objeciones a un subprocesador: support@thehedgeling.com.