Aviso legal
Acuerdo de Tratamiento de Datos
Última actualización: 1 de noviembre de 2026
Esta traducción se ofrece para su comodidad. La versión en inglés es la jurídicamente vinculante y prevalece en caso de discrepancia. Leer la versión en inglés.
Este Acuerdo de Tratamiento de Datos («ATD») forma parte de las Condiciones del Servicio entre el Cliente y Astrizon Technology Solutions Private Limited, una sociedad constituida en la India («Encargado»). Se aplica siempre que el Encargado trata datos personales por cuenta del Cliente a través de Zolensa. Si el Cliente actúa como encargado del tratamiento de su propio cliente, el Encargado es su subencargado y las condiciones se aplican en consecuencia.
1. Definiciones
«Legislación de Protección de Datos» significa las leyes aplicables al tratamiento, incluidos el Reglamento General de Protección de Datos (RGPD) de la UE, el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 (Data Protection Act 2018) del Reino Unido, la Ley Federal suiza de Protección de Datos, la Ley de Protección de Datos Personales Digitales de 2023 de la India (Digital Personal Data Protection Act 2023) y las leyes de los estados de EE. UU., como la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act, CCPA). «Datos Personales», «Responsable del Tratamiento», «Encargado del Tratamiento», «Interesado», «Violación de la Seguridad de los Datos Personales» y «Tratamiento» tienen los significados que les atribuye el RGPD. «Datos Personales del Cliente» significa los Datos Personales tratados por el Encargado para el Cliente a través del Servicio.
2. Funciones e instrucciones
El Cliente es el Responsable del Tratamiento (o un Encargado que actúa por cuenta de su cliente) y el Encargado trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente. Las Condiciones, este ATD y el uso y la configuración del Servicio por parte del Cliente constituyen esas instrucciones. El Encargado informa al Cliente si considera que una instrucción infringe la Legislación de Protección de Datos. Los detalles del tratamiento figuran en el Anexo I.
3. Confidencialidad
El Encargado se asegura de que todas las personas autorizadas para tratar Datos Personales del Cliente estén sujetas a un deber de confidencialidad y tengan únicamente el acceso que requiere su función.
4. Seguridad
El Encargado aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo, y puede actualizarlas siempre que no disminuya el nivel general de protección.
5. Subencargados del tratamiento
El Cliente concede una autorización general para los subencargados que figuran en la página de Subencargados del tratamiento. El Encargado avisa con al menos 30 días de antelación de la incorporación de un nuevo subencargado, mediante la actualización de esa página y el envío de un correo electrónico a los propietarios del espacio de trabajo. El Cliente puede oponerse, por motivos razonables de protección de datos, dentro de ese plazo; si las partes no logran acordar una solución, el Cliente puede dar por terminado el servicio afectado y recibir el reembolso de las tarifas prepagadas por el periodo restante. El Encargado impone a cada subencargado obligaciones de protección de datos que no sean menos protectoras que las de este ATD y sigue siendo responsable de ellos.
6. Transferencias internacionales
El Encargado aloja el Servicio en la India y algunos subencargados se encuentran en otros países. Para las transferencias de Datos Personales procedentes del Espacio Económico Europeo, las partes aceptan las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo Dos (de responsable a encargado) y, cuando el Cliente sea un encargado, Módulo Tres (de encargado a encargado), que se incorporan por referencia con las siguientes opciones: la Cláusula 7 no se aplica; en la Cláusula 9 se aplica la opción 2 (autorización general) con un preaviso de 30 días; el texto facultativo de la Cláusula 11 no se aplica; la Cláusula 13 sigue el establecimiento del Cliente; en las Cláusulas 17 y 18 se aplican la ley y los tribunales de Irlanda; los Anexos I y II de este ATD completan los Anexos de las Cláusulas. Para las transferencias desde el Reino Unido se aplica el Anexo sobre Transferencia Internacional de Datos (International Data Transfer Addendum) emitido por el Comisionado de Información, y para Suiza se aplican las Cláusulas entendiéndose que las referencias lo son a la legislación suiza. Si estas Cláusulas entran en conflicto con este ATD, prevalecen las Cláusulas.
7. Asistencia al Cliente
Teniendo en cuenta la naturaleza del tratamiento, el Encargado asiste al Cliente, principalmente mediante funciones del Servicio, para responder a las solicitudes de los Interesados, y en materia de seguridad, notificaciones de violaciones, evaluaciones de impacto relativas a la protección de datos y consultas a las autoridades. Si un Interesado se dirige directamente al Encargado, este traslada la solicitud al Cliente sin responderla, salvo que la ley exija otra cosa.
8. Violaciones de la seguridad de los Datos Personales
El Encargado notifica al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente, con la información que el Cliente necesite para cumplir sus propias obligaciones, y mantiene informado al Cliente a medida que se conozcan más datos. El Encargado adopta medidas razonables para contener la violación y reducir sus efectos.
9. Supresión y devolución
El Cliente puede exportar y suprimir los Datos Personales del Cliente en cualquier momento a través del Servicio, y establece el periodo de conservación de cada estudio. Cuando termina el acuerdo, el Encargado suprime todos los Datos Personales del Cliente, incluidos los archivos almacenados, en un plazo de 30 días después del periodo de exportación previsto en las Condiciones, salvo que la ley le exija conservar una parte de ellos, en cuyo caso mantiene esos datos confidenciales y los trata únicamente para ese fin.
10. Auditorías
El Encargado pone a disposición la información razonablemente necesaria para demostrar el cumplimiento de este ATD. El Cliente puede realizar una auditoría, o encargarla a un auditor independiente sujeto a confidencialidad, una vez al año con un preaviso de 30 días, en horario laboral y sin perturbar el Servicio ni los datos de otros clientes, a su propio coste; o con mayor frecuencia si lo exige una Violación de la Seguridad de los Datos Personales o una autoridad.
11. Leyes de privacidad de los estados de EE. UU.
Cuando se apliquen la Ley de Privacidad del Consumidor de California o leyes similares, el Encargado es un proveedor de servicios y no venderá ni compartirá los Datos Personales del Cliente, ni los conservará, usará o comunicará fuera de la relación comercial directa o para un fin distinto del Servicio, ni los combinará con otra información personal salvo en la medida en que esas leyes lo permitan. El Encargado informará al Cliente si deja de poder cumplir estas obligaciones.
12. Responsabilidad y orden de prelación
La responsabilidad de cada parte en virtud de este ATD está sujeta a los límites de las Condiciones, salvo cuando la Legislación de Protección de Datos no los permita. Si este ATD entra en conflicto con las Condiciones en materia de protección de datos, prevalece este ATD.
13. Anexo I: Detalles del tratamiento
| Responsable del Tratamiento | El Cliente (agencia), según se indica en su espacio de trabajo. Contacto: los propietarios del espacio de trabajo. |
|---|---|
| Encargado del Tratamiento | Astrizon Technology Solutions Private Limited, Bengaluru, India. Contacto: support@astrizon.com. |
| Interesados | Los participantes en la investigación invitados por el Cliente; el personal y los clientes del Cliente que usan el Servicio. |
| Categorías de datos | Datos de identificación y de contacto (nombre, correo electrónico, número de móvil), idioma y zona horaria, registros de consentimiento, respuestas del estudio, vídeos, fotos y grabaciones de voz, mensajes, información del dispositivo y de la conexión, registros de inicio de sesión y de auditoría. |
| Datos sensibles | El Servicio no los solicita. Las grabaciones pueden revelar categorías especiales de datos (por ejemplo, salud, religión u origen étnico) según el estudio del Cliente; el Cliente decide si recopila tales datos y es responsable de su base jurídica. Garantías: las del Anexo II. |
| Naturaleza y finalidad | Alojamiento, almacenamiento, conversión de contenido multimedia para su reproducción, visualización por usuarios autorizados, envío de invitaciones, recordatorios y mensajes, traducción de los textos del estudio, transcripción y traducción de las grabaciones, análisis de las respuestas mediante IA cuando el Cliente lo utiliza, exportación y supresión, con el fin de prestar el Servicio al Cliente. |
| Frecuencia | Continua, durante la vigencia del acuerdo. |
| Conservación | Según lo que establezca el Cliente para cada estudio y, como máximo, hasta la supresión posterior a la terminación del acuerdo (sección 9). |
| Subencargados | Los que figuran en la página de Subencargados del tratamiento, para el alojamiento, el envío de correo electrónico y, cuando se usen, la traducción, la transcripción, el análisis mediante IA, los pagos y los SMS. |
14. Anexo II: Medidas técnicas y organizativas
- Cifrado en tránsito con TLS en todas las conexiones; grabaciones almacenadas de forma privada y servidas mediante enlaces firmados que caducan.
- Contraseñas con hash Argon2id; autenticación de doble factor obligatoria para los propietarios del espacio de trabajo y el personal de la plataforma; claves de proveedores y secretos de doble factor cifrados en reposo.
- Acceso basado en funciones dentro de cada espacio de trabajo; los clientes ven a los participantes solo por código; los datos de contacto se limitan al equipo del estudio.
- Separación de los datos de los clientes en la aplicación por espacio de trabajo; cada solicitud se comprueba con el espacio de trabajo y la función del usuario.
- Límites de frecuencia en el inicio de sesión, las invitaciones y las cargas; protección contra la falsificación de solicitudes entre sitios; cabeceras de seguridad.
- Registro de auditoría de inicios de sesión, invitaciones, consentimiento, exportaciones, descargas y supresiones.
- Minimización de datos: datos de ubicación eliminados de las fotos; cargas comprobadas por tipo y tamaño; descargas que caducan a los siete días.
- Conservación por estudio establecida por el Cliente; supresión de participantes, estudios y espacios de trabajo completos, incluidos los archivos.
- Refuerzo de la seguridad de los servidores, actualizaciones de seguridad periódicas, cortafuegos y copias de seguridad a cargo del proveedor de alojamiento.
- Personal con acceso sujeto a confidencialidad, con un acceso limitado a lo que requiere su trabajo.
- Un proceso para detectar, evaluar y notificar las Violaciones de la Seguridad de los Datos Personales en un plazo de 48 horas.