Anexo de Tratamiento de Datos

• Legislación de Protección de Datos Aplicable significa todas las leyes que se aplican al tratamiento de Datos Personales del Cliente en virtud del Acuerdo, que pueden incluir el GDPR, el UK GDPR, la Ley Federal Suiza de Protección de Datos y las leyes de privacidad de los estados de Estados Unidos, como la California Consumer Privacy Act.
• Datos Personales del Cliente significa los datos personales contenidos en el Contenido del Cliente que Zurelay trata en nombre del Cliente para prestar los Servicios.
• Subencargado significa un tercero contratado por Zurelay que trata Datos Personales del Cliente, incluidos los Proveedores de Infraestructura.
• Brecha de Datos Personales significa una brecha de seguridad en sistemas controlados por Zurelay que provoque la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a Datos Personales del Cliente, ya sea de forma accidental o ilícita.
• SCCs significa las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión (UE) 2021/914.
• Responsable, encargado, interesado, datos personales, tratamiento, empresa y proveedor de servicios tienen el significado que se les da en la Legislación de Protección de Datos Aplicable.

Respecto a los Datos Personales del Cliente, el Cliente es el responsable (o un encargado que actúa para sus propios clientes) y Zurelay es un encargado (o subencargado). Este DPA no se aplica a los datos personales que Zurelay trata como responsable independiente, como los datos de cuenta, facturación, soporte, seguridad y del sitio web, que cubre nuestra Política de Privacidad.

3.1 Instrucciones. Zurelay tratará los Datos Personales del Cliente únicamente para prestar, proteger y dar soporte a los Servicios de conformidad con el Acuerdo, este DPA y el uso y la configuración de los Servicios por parte del Cliente, que en conjunto constituyen las instrucciones documentadas completas del Cliente, y según lo exija la ley. Cuando la ley exija un tratamiento que vaya más allá de esas instrucciones, Zurelay se lo comunicará primero al Cliente, salvo que la ley lo prohíba.

3.2 El enrutamiento es una instrucción. El Cliente instruye a Zurelay para enviar el Contenido del Cliente a los Proveedores de Infraestructura elegidos por Zurelay, y para reintentar, redirigir y conmutar por error las solicitudes entre ellos, según sea necesario para generar los Resultados.

3.3 Instrucciones infractoras. Zurelay informará al Cliente si, en su opinión, una instrucción infringe la Legislación de Protección de Datos Aplicable. Zurelay no está obligada a realizar revisiones jurídicas de las instrucciones del Cliente.

El Cliente es responsable de contar con una base jurídica para el tratamiento de los Datos Personales del Cliente en virtud del Acuerdo, así como de dar todos los avisos y obtener todos los consentimientos necesarios para dicho tratamiento. El Cliente no enviará Datos Restringidos, incluidos las categorías especiales de datos personales y los datos personales de menores, salvo que las partes hayan firmado un acuerdo escrito independiente que lo permita. El Cliente es responsable de limitar los datos personales que incluye en las Entradas a lo que requiera su uso de los Servicios, y de decidir si los Servicios, incluido el tratamiento por parte de Proveedores de Infraestructura cuya identidad Zurelay no revela, conforme a sus propias condiciones descritas en la Sección 7, son adecuados para sus datos.

Zurelay se asegurará de que las personas a las que autorice a tratar Datos Personales del Cliente estén sujetas a obligaciones de confidencialidad adecuadas y accedan a ellos solo en la medida necesaria para prestar los Servicios.

Zurelay implementará y mantendrá las medidas técnicas y organizativas descritas en el Anexo II, diseñadas para proteger los Datos Personales del Cliente en los sistemas que Zurelay controla. Zurelay podrá actualizar estas medidas siempre que el nivel general de protección no se reduzca de forma sustancial.

7.1 Autorización general. El Cliente otorga a Zurelay autorización general para contratar Subencargados en las siguientes categorías: (a) proveedores de alojamiento, bases de datos, almacenamiento y redes; (b) proveedores de pagos, correo electrónico y soporte, en la medida en que traten Datos Personales del Cliente; y (c) Proveedores de Infraestructura que dan servicio a los Modelos, que pueden incluir Desarrolladores de Modelos, plataformas en la nube y revendedores independientes y otros proveedores de capacidad de modelos.

7.2 Identidad de los Proveedores de Infraestructura. La identidad de los Proveedores de Infraestructura de Zurelay es información comercial confidencial y Zurelay no la divulga. La autorización del Cliente en la Sección 7.1 cubre a los Proveedores de Infraestructura por categoría, sin que se divulgue su identidad. Previa solicitud por escrito, Zurelay facilitará al Cliente una lista de sus demás Subencargados actuales, sujeta a las obligaciones de confidencialidad del Cliente conforme al Acuerdo. Si las obligaciones legales del Cliente le exigen conocer la identidad de cada Subencargado antes de que se le envíen datos personales, el Cliente no deberá incluir dichos datos personales en el Contenido del Cliente.

7.3 Cambios. Para mantener la disponibilidad de los Servicios, Zurelay podrá añadir, eliminar y sustituir Proveedores de Infraestructura en cualquier momento. Zurelay notificará al Cliente cualquier nueva categoría de Subencargado actualizando este DPA. Si el Cliente se opone por motivos razonables de protección de datos, las partes tratarán la objeción de buena fe; si no se logra resolver, el único remedio del Cliente será dejar de usar los Servicios afectados y resolver el Acuerdo.

7.4 Condiciones de los Subencargados. Cuando Zurelay pueda negociar las condiciones de un Subencargado, le exigirá obligaciones de protección de datos que, en esencia, no sean menos protectoras que las de este DPA, en la medida en que sean pertinentes para los servicios que presta el Subencargado. Algunos Proveedores de Infraestructura ofrecen sus servicios únicamente conforme a sus condiciones estándar. El Cliente reconoce que, respecto a esos proveedores, sus condiciones estándar rigen su tratamiento del Contenido del Cliente y que es posible que Zurelay no pueda obtener de ellos compromisos adicionales.

7.5 Responsabilidad. Zurelay sigue siendo responsable de sus Subencargados en la medida exigida por la Legislación Aplicable de Protección de Datos, con sujeción a las limitaciones de responsabilidad del Acuerdo.

Teniendo en cuenta la naturaleza del tratamiento, Zurelay prestará al Cliente una asistencia razonable para responder a las solicitudes de los interesados dirigidas a ejercer sus derechos. Si Zurelay recibe una solicitud de este tipo relativa a Datos Personales del Cliente, remitirá al solicitante al Cliente cuando pueda identificarlo y no responderá por sí misma, salvo para confirmar la remisión o cuando la ley lo exija. El Cliente pagará los costes razonables de Zurelay por la asistencia que exceda de la que ofrecen los Servicios.

Zurelay notificará al Cliente sin dilación indebida tras tener conocimiento de una Brecha de Datos Personales y facilitará la información de que disponga razonablemente y que el Cliente necesite para cumplir sus propias obligaciones de notificación. Zurelay adoptará medidas razonables para contener e investigar la brecha. La notificación no constituye un reconocimiento de culpa ni de responsabilidad. El Cliente es responsable de notificar a las autoridades de control y a los interesados cuando sea necesario. Si un Proveedor de Infraestructura notifica a Zurelay un incidente de seguridad que afecte a Datos Personales del Cliente, Zurelay transmitirá la información pertinente que reciba.

10.1 Asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Zurelay prestará al Cliente una asistencia razonable en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas a las autoridades de control cuando la Legislación Aplicable de Protección de Datos las exija, a costa del Cliente cuando la asistencia vaya más allá de lo mínimo.

10.2 Información. Previa solicitud por escrito, y no más de una vez en cualquier periodo de 12 meses, Zurelay responderá por escrito a un cuestionario razonable sobre seguridad y privacidad y facilitará la demás información razonablemente necesaria para demostrar el cumplimiento de este DPA.

10.3 Auditorías. Si la Ley de Protección de Datos Aplicable exige una auditoría que vaya más allá de esa información, el Cliente podrá realizar una, a su propio costo, no más de una vez cada 12 meses, con un preaviso por escrito de al menos 30 días, durante el horario comercial habitual, bajo obligaciones de confidencialidad adecuadas y por un auditor que no compita con Zurelay. Las auditorías no darán acceso a los datos de otros clientes, a los sistemas de los Proveedores de Infraestructura ni a la identidad de los Proveedores de Infraestructura, salvo que lo exija un tribunal o una autoridad reguladora con competencia sobre Zurelay.

Zurelay no almacena el contenido de las solicitudes de chat y de texto enviadas a través de la API una vez atendidas. Los chats del Playground se conservan para la persona que los tuvo hasta que los elimine (sus 300 más recientes por espacio de trabajo), sin archivos adjuntos. Las imágenes añadidas en el Playground se conservan para el espacio de trabajo y se eliminan a los 30 días. Las imágenes y los videos generados, sus prompts e imágenes de referencia, y los detalles de error de los intentos fallidos se eliminan a los 30 días. Dentro de los 90 días posteriores a la finalización del Acuerdo, Zurelay eliminará los Datos Personales del Cliente que queden en los sistemas que controla, excepto las copias que deba conservar por ley y las copias en respaldos, que se eliminan según su calendario habitual. Los Datos Personales del Cliente procesados por los Proveedores de Infraestructura se conservan conforme a sus propios términos.

12.1 Autorización. El Cliente autoriza a Zurelay y a sus Subencargados a transferir y procesar los Datos Personales del Cliente en los Estados Unidos y en otros países donde operen.

12.2 Transferencias europeas. En la medida en que los Datos Personales del Cliente estén sujetos al GDPR y se transfieran a un país sin decisión de adecuación, las SCCs se incorporan a este DPA de la siguiente manera: el Módulo Dos se aplica cuando el Cliente es responsable del tratamiento y el Módulo Tres cuando el Cliente es encargado del tratamiento; se aplica la cláusula opcional de adhesión de la Cláusula 7; en la Cláusula 9 se aplica la Opción 2, con la notificación descrita en la Sección 7.3; el texto opcional de la Cláusula 11 no se aplica; en la Cláusula 17, las SCCs se rigen por las leyes de Irlanda; y en la Cláusula 18, los tribunales de Irlanda tienen jurisdicción. Los Anexos I y II de este DPA completan los anexos correspondientes de las SCCs.

12.3 Reino Unido y Suiza. Para los datos personales sujetos al UK GDPR, las SCCs se aplican según lo modificado por el Addendum de Transferencia Internacional de Datos emitido por el Comisionado de Información del Reino Unido. Para los datos personales sujetos a la ley suiza, las SCCs se aplican con las referencias adaptadas a la Ley Federal de Protección de Datos de Suiza, y el Comisionado Federal de Protección de Datos e Información de Suiza es la autoridad competente.

12.4 Prevalencia. Si las SCCs entran en conflicto con este DPA, las SCCs prevalecen en la medida de ese conflicto.

En la medida en que se apliquen las leyes estatales de privacidad de los Estados Unidos, Zurelay es el proveedor de servicios o encargado del tratamiento del Cliente respecto de los Datos Personales del Cliente. Zurelay no venderá ni compartirá los Datos Personales del Cliente; no los conservará, utilizará ni divulgará para ningún fin distinto de los fines comerciales establecidos en el Acuerdo ni fuera de la relación comercial directa entre Zurelay y el Cliente; y no los combinará con datos personales de otras fuentes, salvo en la medida en que esas leyes lo permitan. Zurelay cumplirá las obligaciones aplicables de esas leyes, notificará al Cliente si ya no puede cumplirlas y otorga al Cliente el derecho a tomar medidas razonables para detener y remediar el uso no autorizado de los Datos Personales del Cliente.

Este DPA prevalece sobre los Términos en lo relativo a la protección de los Datos Personales del Cliente. En lo demás, se aplican los Términos, incluidas sus limitaciones de responsabilidad, la ley aplicable y la resolución de disputas, salvo que la Ley de Protección de Datos Aplicable o las SCCs exijan lo contrario. Zurelay podrá actualizar este DPA para reflejar cambios en la ley, en los Servicios o en sus Subencargados, y notificará al Cliente los cambios importantes. Este DPA finaliza cuando finaliza el Acuerdo, salvo las obligaciones que por su naturaleza subsistan.

• Cifrado: TLS para los datos en tránsito hacia y desde los Servicios; cifrado en reposo proporcionado por los proveedores de alojamiento de Zurelay.
• Credenciales: claves de API almacenadas únicamente como hashes unidireccionales; inicio de sesión con códigos de un solo uso; roles de espacio de trabajo que controlan quién puede gestionar claves y facturación.
• Control de acceso: acceso a los sistemas de producción y a los datos limitado al personal que lo necesite.
• Minimización de datos: el contenido de chat y de texto enviado a través de la API se procesa en memoria y no se almacena; los chats del Playground se conservan solo para la persona que los tuvo, sin archivos adjuntos; las imágenes añadidas en el Playground se eliminan a los 30 días; los archivos generados, sus prompts y los detalles de error se eliminan a los 30 días; los identificadores de los usuarios finales del cliente se eliminan de las solicitudes antes de enviarlas a los Proveedores de Infraestructura.
• Monitorización: supervisión continua de la disponibilidad y el comportamiento de los Servicios y de los Proveedores de Infraestructura, con registro e investigación de los incidentes.
• Resiliencia: reintento automático y conmutación por error entre Proveedores de Infraestructura.
• Respuesta a incidentes: investigación, contención y notificación a los clientes de las Brechas de Datos Personales tal como se describe en la Sección 9.
• Supervisión de proveedores: probar a los Proveedores de Infraestructura antes y durante su uso, por ejemplo que sirvan el Modelo solicitado y con qué fiabilidad, y retirar a los que no superan las comprobaciones de Zurelay. Estas comprobaciones abarcan la calidad del servicio, no la seguridad propia de los Proveedores de Infraestructura, que ellos gestionan según sus propios términos.