Legal
Data Processing Agreement
Version 2.0 · May 2026 · Art. 28 GDPR
1. Parties
This Data Processing Agreement ("DPA") is entered into between the Client (Data Controller) and KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, operating as Yachay Systems (Data Processor).
Contact for data protection matters: info@yachay.systems
2. Subject Matter and Duration
This DPA governs the processing of personal data by the Processor on behalf of the Controller in connection with the provision of AI-powered communication and scheduling services. The DPA applies for the duration of the service agreement and ends upon deletion or return of all personal data.
3. Nature and Purpose of Processing
The Processor operates AI communication agents on behalf of the Controller. Processing includes:
- Receiving and responding to messages from the Controller's customers via WhatsApp, webchat, Instagram, Facebook Messenger, or Telegram
- AI-assisted language processing of message content to generate responses
- Appointment scheduling and calendar management
- Storage of conversation histories for the Controller's review via admin dashboard
- Sending transactional notifications (e.g. appointment confirmations) on behalf of the Controller
4. Types of Personal Data
The following categories of personal data may be processed:
- Names and contact details (phone numbers, email addresses)
- Messaging platform identifiers
- Appointment and scheduling data
- Content of messages and conversations
- Conversation metadata (timestamps, channel, session identifiers)
Special categories (Art. 9 GDPR): For healthcare verticals (e.g. physiotherapy), message content may include health-related information voluntarily provided by data subjects (e.g. symptoms, complaints, health insurance information). The Controller is responsible for ensuring a valid legal basis under Art. 9(2) GDPR for the processing of such data.
5. Categories of Data Subjects
- Customers, patients, or clients of the Controller
- Prospective customers who initiate contact via messaging channels
6. Obligations of the Processor
The Processor shall:
- Process personal data only on documented instructions from the Controller, including with regard to transfers to third countries (Art. 28(3)(a) GDPR)
- Ensure that all persons authorized to process personal data are bound by confidentiality obligations (Art. 28(3)(b) GDPR)
- Implement appropriate technical and organizational measures as described in Section 7 (Art. 28(3)(c) GDPR)
- Comply with the conditions for engaging subprocessors as set out in Section 8 (Art. 28(3)(d) GDPR)
- Assist the Controller in responding to requests from data subjects exercising their rights under Chapter III GDPR (Art. 28(3)(e) GDPR)
- Assist the Controller in ensuring compliance with obligations under Articles 32 to 36 GDPR, including breach notification and data protection impact assessments (Art. 28(3)(f) GDPR)
- Delete or return all personal data upon termination as described in Section 11 (Art. 28(3)(g) GDPR)
- Make available all information necessary to demonstrate compliance and allow for audits as described in Section 10 (Art. 28(3)(h) GDPR)
7. Technical and Organizational Measures
The Processor implements the following measures to ensure an appropriate level of security (Art. 32 GDPR):
- Encryption in transit: TLS 1.2+ for all connections, HSTS with 1-year max-age
- Encryption at rest: Backups encrypted with AES-256 (age). Server hosted in Germany (Hetzner Online GmbH, Nuremberg/Falkenstein)
- Access control: SSH key-only authentication, root login disabled, fail2ban intrusion prevention, dual-layer admin authentication (reverse proxy + application API key)
- Tenant isolation: Strict per-tenant data separation via tenant_id filtering on all database operations
- Container isolation: All application services run as non-root users in isolated containers with resource limits
- Monitoring: Automated health checks (5-minute cycle), error spike detection, instant alerting
- Backup: Daily encrypted backups with 14-day retention, off-site encrypted copy on physical media in Germany
- Input validation: XSS escaping, SQL injection prevention (parameterized queries), SSRF protection, CORS with explicit origins
A detailed description of all technical and organizational measures is available upon request.
8. Subprocessors
The Controller grants the Processor general authorization to engage subprocessors for the services described in this DPA. The following subprocessors are currently engaged:
| Provider | Purpose | Location |
|---|---|---|
| Hetzner Online GmbH | Server hosting and infrastructure | Germany |
| Meta Platforms Ireland Ltd. | WhatsApp Business API, Instagram, Facebook Messenger | Ireland (EU) |
| OpenAI LLC | AI language processing | USA (DPF) |
| Google LLC | AI language processing (Gemini) | USA (DPF) |
| Anthropic PBC | AI language processing | USA (DPF) |
| DeepSeek | AI language processing | China (SCCs) |
| OpenRouter Inc. | AI model routing | USA (DPF) |
| Resend Inc. | Transactional email delivery | USA (DPF) |
| Telegram Messenger Inc. | Telegram Bot API (optional) | UAE (SCCs) |
The Processor shall inform the Controller of any intended addition or replacement of subprocessors at least 14 days in advance, giving the Controller the opportunity to object. If the Controller raises a justified objection, the Processor shall refrain from engaging the subprocessor or offer the Controller the right to terminate the service agreement.
The Processor ensures that subprocessors are bound by data protection obligations no less protective than those in this DPA.
9. International Data Transfers
Personal data is primarily stored and processed on servers located in Germany (EU). Where personal data is transferred to subprocessors outside the EU/EEA, the following safeguards apply:
- USA: EU-U.S. Data Privacy Framework (DPF) certification of the recipient, supplemented by Standard Contractual Clauses (SCCs) where applicable
- Other third countries: Standard Contractual Clauses (SCCs) pursuant to Commission Implementing Decision (EU) 2021/914
AI language processing providers are used under API terms that prohibit the use of input data for model training (zero-retention or zero-training policies).
10. Audits
The Processor shall make available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR (Art. 28(3)(h) GDPR). The Processor shall allow for and contribute to audits, including inspections, conducted by the Controller or an auditor mandated by the Controller. Such audits shall be conducted with reasonable prior notice (at least 14 days) and during normal business hours, and shall not unreasonably interfere with the Processor's operations.
11. Data Retention and Deletion
Personal data is stored for the duration of the service agreement. Upon termination:
- The Controller may request export of all personal data in a machine-readable format (JSON/CSV) within 30 days of termination.
- After the export period (or immediately upon request if no export is needed), all personal data will be permanently deleted from active systems within 14 days.
- Data in encrypted backups will be removed through regular backup rotation (maximum 14 days after deletion from active systems).
For trial accounts that are not converted to a paid subscription, all data is automatically deleted 33 days after trial expiration.
12. Breach Notification
The Processor shall notify the Controller without undue delay (and in any event within 48 hours) after becoming aware of a personal data breach affecting the Controller's data. The notification shall include:
- The nature of the breach, including the categories and approximate number of data subjects and records concerned
- The likely consequences of the breach
- The measures taken or proposed to address the breach
The Controller remains responsible for determining whether notification to the supervisory authority (Art. 33 GDPR) or to data subjects (Art. 34 GDPR) is required.
13. Governing Law
This DPA is governed by the General Data Protection Regulation (EU) 2016/679 and, where applicable, the national data protection laws of the Controller's country of establishment.
Rechtliches
Auftragsverarbeitungsvertrag
Version 2.0 · Mai 2026 · Art. 28 DSGVO
1. Vertragsparteien
Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen dem Kunden (Verantwortlicher) und KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, handelnd als Yachay Systems (Auftragsverarbeiter).
Ansprechpartner Datenschutz: info@yachay.systems
2. Gegenstand und Laufzeit
Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung KI-gestuetzter Kommunikations- und Terminplanungsdienste. Der AVV gilt fuer die Dauer des Dienstleistungsvertrags und endet mit der Loeschung oder Rueckgabe aller personenbezogenen Daten.
3. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter betreibt KI-Kommunikationsagenten im Auftrag des Verantwortlichen. Die Verarbeitung umfasst:
- Empfang und Beantwortung von Nachrichten der Kunden des Verantwortlichen ueber WhatsApp, Webchat, Instagram, Facebook Messenger oder Telegram
- KI-gestuetzte Sprachverarbeitung von Nachrichteninhalten zur Generierung von Antworten
- Terminplanung und Kalenderverwaltung
- Speicherung von Konversationsverlaeufen zur Einsicht durch den Verantwortlichen ueber das Admin-Dashboard
- Versand von Transaktionsbenachrichtigungen (z.B. Terminbestaetigungen) im Auftrag des Verantwortlichen
4. Arten personenbezogener Daten
Folgende Kategorien personenbezogener Daten koennen verarbeitet werden:
- Namen und Kontaktdaten (Telefonnummern, E-Mail-Adressen)
- Messaging-Plattform-Kennungen
- Termin- und Buchungsdaten
- Inhalte von Nachrichten und Konversationen
- Konversations-Metadaten (Zeitstempel, Kanal, Sitzungskennungen)
Besondere Kategorien (Art. 9 DSGVO): Bei Gesundheitsdienstleistern (z.B. Physiotherapie) koennen Nachrichteninhalte gesundheitsbezogene Informationen enthalten, die von betroffenen Personen freiwillig mitgeteilt werden (z.B. Symptome, Beschwerden, Krankenkasseninformationen). Der Verantwortliche ist dafuer zustaendig, eine gueltige Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO fuer die Verarbeitung solcher Daten sicherzustellen.
5. Kategorien betroffener Personen
- Kunden, Patienten oder Klienten des Verantwortlichen
- Interessenten, die ueber Messaging-Kanaele Kontakt aufnehmen
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Uebermittlungen in Drittlaender (Art. 28 Abs. 3 lit. a DSGVO)
- Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO)
- Geeignete technische und organisatorische Massnahmen gemaess Abschnitt 7 umzusetzen (Art. 28 Abs. 3 lit. c DSGVO)
- Die Bedingungen fuer den Einsatz von Unterauftragsverarbeitern gemaess Abschnitt 8 einzuhalten (Art. 28 Abs. 3 lit. d DSGVO)
- Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstuetzen (Art. 28 Abs. 3 lit. e DSGVO)
- Den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO zu unterstuetzen, einschliesslich Meldung von Datenpannen und Datenschutz-Folgenabschaetzungen (Art. 28 Abs. 3 lit. f DSGVO)
- Nach Beendigung alle personenbezogenen Daten zu loeschen oder zurueckzugeben gemaess Abschnitt 11 (Art. 28 Abs. 3 lit. g DSGVO)
- Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfuegung zu stellen und Ueberpruefungen zu ermoeglichen gemaess Abschnitt 10 (Art. 28 Abs. 3 lit. h DSGVO)
7. Technische und organisatorische Massnahmen
Der Auftragsverarbeiter setzt folgende Massnahmen um, um ein angemessenes Schutzniveau zu gewaehrleisten (Art. 32 DSGVO):
- Transportverschluesselung: TLS 1.2+ fuer alle Verbindungen, HSTS mit 1 Jahr max-age
- Verschluesselung ruhender Daten: Backups verschluesselt mit AES-256 (age). Server in Deutschland (Hetzner Online GmbH, Nuernberg/Falkenstein)
- Zugangskontrolle: SSH nur mit Schluessel-Authentifizierung, Root-Login deaktiviert, fail2ban Brute-Force-Schutz, doppelte Admin-Authentifizierung (Reverse-Proxy + Anwendungs-API-Schluessel)
- Mandantentrennung: Strikte Datentrennung pro Mandant durch tenant_id-Filter auf allen Datenbankoperationen
- Container-Isolation: Alle Dienste laufen als Nicht-Root-Benutzer in isolierten Containern mit Ressourcenlimits
- Monitoring: Automatische Gesundheitspruefungen (5-Minuten-Zyklus), Fehler-Spike-Erkennung, Sofort-Alarmierung
- Backup: Taegliche verschluesselte Sicherungen mit 14 Tagen Aufbewahrung, Off-Site-Kopie auf physischem Datentraeger in Deutschland
- Eingabevalidierung: XSS-Escaping, SQL-Injection-Schutz (parametrisierte Abfragen), SSRF-Schutz, CORS mit expliziten Origins
Eine ausfuehrliche Beschreibung aller technischen und organisatorischen Massnahmen ist auf Anfrage erhaeltlich.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern fuer die in diesem AVV beschriebenen Dienste. Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:
| Anbieter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting und Infrastruktur | Deutschland |
| Meta Platforms Ireland Ltd. | WhatsApp Business API, Instagram, Facebook Messenger | Irland (EU) |
| OpenAI LLC | KI-Sprachverarbeitung | USA (DPF) |
| Google LLC | KI-Sprachverarbeitung (Gemini) | USA (DPF) |
| Anthropic PBC | KI-Sprachverarbeitung | USA (DPF) |
| DeepSeek | KI-Sprachverarbeitung | China (SCCs) |
| OpenRouter Inc. | KI-Model-Routing | USA (DPF) |
| Resend Inc. | Transaktions-E-Mail-Versand | USA (DPF) |
| Telegram Messenger Inc. | Telegram Bot API (optional) | VAE (SCCs) |
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus ueber beabsichtigte Aenderungen bei Unterauftragsverarbeitern und gibt dem Verantwortlichen die Moeglichkeit zum Widerspruch. Bei begruendetem Widerspruch wird der Auftragsverarbeiter den Unterauftragsverarbeiter nicht einsetzen oder dem Verantwortlichen ein Kuendigungsrecht einraeumen.
Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter Datenschutzpflichten unterliegen, die nicht weniger schuetzend sind als die in diesem AVV festgelegten.
9. Internationale Datenuebermittlung
Personenbezogene Daten werden primaer auf Servern in Deutschland (EU) gespeichert und verarbeitet. Soweit personenbezogene Daten an Unterauftragsverarbeiter ausserhalb der EU/des EWR uebermittelt werden, gelten folgende Garantien:
- USA: EU-U.S. Data Privacy Framework (DPF) Zertifizierung des Empfaengers, ergaenzt durch Standardvertragsklauseln (SCCs) wo anwendbar
- Sonstige Drittlaender: Standardvertragsklauseln (SCCs) gemaess Durchfuehrungsbeschluss (EU) 2021/914
KI-Sprachverarbeitungsanbieter werden unter API-Bedingungen eingesetzt, die die Verwendung von Eingabedaten zum Modelltraining untersagen (Zero-Retention- bzw. Zero-Training-Richtlinien).
10. Ueberpruefungen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfuegung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter ermoeglicht und unterstuetzt Ueberpruefungen einschliesslich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Pruefer durchgefuehrt werden. Solche Ueberpruefungen erfolgen mit angemessener Vorankuendigung (mindestens 14 Tage) waehrend der ueblichen Geschaeftszeiten und duerfen den Betrieb des Auftragsverarbeiters nicht unangemessen beeintraechtigen.
11. Datenspeicherung und Loeschung
Personenbezogene Daten werden fuer die Dauer des Dienstleistungsvertrags gespeichert. Bei Beendigung:
- Der Verantwortliche kann innerhalb von 30 Tagen nach Beendigung den Export aller personenbezogenen Daten in einem maschinenlesbaren Format (JSON/CSV) anfordern.
- Nach Ablauf der Exportfrist (oder sofort auf Anfrage, wenn kein Export benoetigt wird) werden alle personenbezogenen Daten innerhalb von 14 Tagen unwiderruflich aus den aktiven Systemen geloescht.
- Daten in verschluesselten Backups werden durch regulaere Backup-Rotation entfernt (maximal 14 Tage nach Loeschung aus aktiven Systemen).
Bei Test-Accounts, die nicht in ein bezahltes Abonnement umgewandelt werden, werden alle Daten automatisch 33 Tage nach Ablauf der Testphase geloescht.
12. Meldung von Datenpannen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzueglich (und in jedem Fall innerhalb von 48 Stunden) nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft. Die Meldung umfasst:
- Die Art der Verletzung einschliesslich der Kategorien und der ungefaehren Zahl der betroffenen Personen und Datensaetze
- Die wahrscheinlichen Folgen der Verletzung
- Die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung
Der Verantwortliche bleibt dafuer zustaendig zu entscheiden, ob eine Meldung an die Aufsichtsbehoerde (Art. 33 DSGVO) oder an betroffene Personen (Art. 34 DSGVO) erforderlich ist.
13. Anwendbares Recht
Dieser AVV unterliegt der Datenschutz-Grundverordnung (EU) 2016/679 sowie, soweit anwendbar, den nationalen Datenschutzgesetzen des Niederlassungsstaats des Verantwortlichen.
Legal
Acuerdo de Procesamiento de Datos
Version 2.0 · Mayo 2026 · Art. 28 RGPD
1. Partes
Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre el Cliente (Responsable del tratamiento) y KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, operando como Yachay Systems (Encargado del tratamiento).
Contacto para asuntos de proteccion de datos: info@yachay.systems
2. Objeto y Duracion
Este DPA regula el tratamiento de datos personales por parte del Encargado en nombre del Responsable en relacion con la prestacion de servicios de comunicacion y programacion de citas basados en inteligencia artificial. El DPA se aplica durante la vigencia del acuerdo de servicio y finaliza con la eliminacion o devolucion de todos los datos personales.
3. Naturaleza y Proposito del Tratamiento
El Encargado opera agentes de comunicacion de IA en nombre del Responsable. El tratamiento incluye:
- Recepcion y respuesta de mensajes de los clientes del Responsable a traves de WhatsApp, webchat, Instagram, Facebook Messenger o Telegram
- Procesamiento linguistico asistido por IA del contenido de los mensajes para generar respuestas
- Programacion de citas y gestion de calendario
- Almacenamiento de historiales de conversacion para su consulta por el Responsable a traves del panel de administracion
- Envio de notificaciones transaccionales (p. ej., confirmaciones de citas) en nombre del Responsable
4. Tipos de Datos Personales
Las siguientes categorias de datos personales pueden ser tratadas:
- Nombres y datos de contacto (numeros de telefono, direcciones de correo electronico)
- Identificadores de plataformas de mensajeria
- Datos de citas y reservas
- Contenido de mensajes y conversaciones
- Metadatos de conversacion (marcas de tiempo, canal, identificadores de sesion)
Categorias especiales (Art. 9 RGPD): Para prestadores de servicios de salud (p. ej., fisioterapia), el contenido de los mensajes puede incluir informacion relacionada con la salud proporcionada voluntariamente por los interesados (p. ej., sintomas, dolencias, informacion de seguro medico). El Responsable es responsable de garantizar una base juridica valida conforme al Art. 9(2) RGPD para el tratamiento de dichos datos.
5. Categorias de Interesados
- Clientes, pacientes o usuarios del Responsable
- Clientes potenciales que inician contacto a traves de canales de mensajeria
6. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos personales unicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias a terceros paises (Art. 28(3)(a) RGPD)
- Garantizar que todas las personas autorizadas para tratar datos personales esten sujetas a obligaciones de confidencialidad (Art. 28(3)(b) RGPD)
- Implementar las medidas tecnicas y organizativas apropiadas descritas en la Seccion 7 (Art. 28(3)(c) RGPD)
- Cumplir las condiciones para la contratacion de subencargados segun la Seccion 8 (Art. 28(3)(d) RGPD)
- Asistir al Responsable en la respuesta a solicitudes de los interesados que ejerzan sus derechos conforme al Capitulo III del RGPD (Art. 28(3)(e) RGPD)
- Asistir al Responsable en el cumplimiento de las obligaciones de los Articulos 32 a 36 del RGPD, incluida la notificacion de violaciones de seguridad y las evaluaciones de impacto en la proteccion de datos (Art. 28(3)(f) RGPD)
- Eliminar o devolver todos los datos personales a la finalizacion segun la Seccion 11 (Art. 28(3)(g) RGPD)
- Poner a disposicion del Responsable toda la informacion necesaria para demostrar el cumplimiento y permitir auditorias segun la Seccion 10 (Art. 28(3)(h) RGPD)
7. Medidas Tecnicas y Organizativas
El Encargado implementa las siguientes medidas para garantizar un nivel de seguridad adecuado (Art. 32 RGPD):
- Cifrado en transito: TLS 1.2+ para todas las conexiones, HSTS con max-age de 1 anno
- Cifrado en reposo: Copias de seguridad cifradas con AES-256 (age). Servidor alojado en Alemania (Hetzner Online GmbH, Nuremberg/Falkenstein)
- Control de acceso: Autenticacion SSH solo por clave, login root deshabilitado, prevencion de intrusos fail2ban, autenticacion dual de administracion (proxy inverso + clave API de aplicacion)
- Aislamiento de inquilinos: Separacion estricta de datos por inquilino mediante filtrado por tenant_id en todas las operaciones de base de datos
- Aislamiento de contenedores: Todos los servicios se ejecutan como usuarios no root en contenedores aislados con limites de recursos
- Monitoreo: Verificaciones automaticas de estado (ciclo de 5 minutos), deteccion de picos de errores, alertas instantaneas
- Copias de seguridad: Copias de seguridad cifradas diarias con retencion de 14 dias, copia externa cifrada en medio fisico en Alemania
- Validacion de entradas: Escapado XSS, prevencion de inyeccion SQL (consultas parametrizadas), proteccion SSRF, CORS con origenes explicitos
Una descripcion detallada de todas las medidas tecnicas y organizativas esta disponible bajo solicitud.
8. Subencargados
El Responsable otorga al Encargado una autorizacion general para contratar subencargados para los servicios descritos en este DPA. Los siguientes subencargados estan actualmente contratados:
| Proveedor | Proposito | Ubicacion |
|---|---|---|
| Hetzner Online GmbH | Alojamiento de servidores e infraestructura | Alemania |
| Meta Platforms Ireland Ltd. | WhatsApp Business API, Instagram, Facebook Messenger | Irlanda (UE) |
| OpenAI LLC | Procesamiento linguistico de IA | EE.UU. (DPF) |
| Google LLC | Procesamiento linguistico de IA (Gemini) | EE.UU. (DPF) |
| Anthropic PBC | Procesamiento linguistico de IA | EE.UU. (DPF) |
| DeepSeek | Procesamiento linguistico de IA | China (SCCs) |
| OpenRouter Inc. | Enrutamiento de modelos de IA | EE.UU. (DPF) |
| Resend Inc. | Envio de correos transaccionales | EE.UU. (DPF) |
| Telegram Messenger Inc. | Telegram Bot API (opcional) | EAU (SCCs) |
El Encargado informara al Responsable con al menos 14 dias de antelacion sobre cualquier adicion o sustitucion prevista de subencargados, dando al Responsable la oportunidad de objetar. Si el Responsable presenta una objecion justificada, el Encargado se abstendra de contratar al subencargado u ofrecera al Responsable el derecho de rescindir el acuerdo de servicio.
El Encargado asegura que los subencargados esten sujetos a obligaciones de proteccion de datos no menos protectoras que las establecidas en este DPA.
9. Transferencias Internacionales de Datos
Los datos personales se almacenan y procesan principalmente en servidores ubicados en Alemania (UE). Cuando los datos personales se transfieran a subencargados fuera de la UE/EEE, se aplican las siguientes garantias:
- EE.UU.: Certificacion del Marco de Privacidad de Datos UE-EE.UU. (DPF) del destinatario, complementada con Clausulas Contractuales Tipo (SCCs) cuando corresponda
- Otros terceros paises: Clausulas Contractuales Tipo (SCCs) conforme a la Decision de Ejecucion (UE) 2021/914
Los proveedores de procesamiento linguistico de IA se utilizan bajo terminos de API que prohiben el uso de datos de entrada para el entrenamiento de modelos (politicas de retencion cero o entrenamiento cero).
10. Auditorias
El Encargado pondra a disposicion del Responsable toda la informacion necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Art. 28 del RGPD (Art. 28(3)(h) RGPD). El Encargado permitira y contribuira a auditorias, incluidas inspecciones, realizadas por el Responsable o un auditor designado por este. Dichas auditorias se realizaran con aviso previo razonable (al menos 14 dias) durante el horario comercial habitual y no interferiran de manera irrazonable con las operaciones del Encargado.
11. Retencion y Eliminacion de Datos
Los datos personales se almacenan durante la vigencia del acuerdo de servicio. A la finalizacion:
- El Responsable puede solicitar la exportacion de todos los datos personales en un formato legible por maquina (JSON/CSV) dentro de los 30 dias posteriores a la finalizacion.
- Tras el periodo de exportacion (o inmediatamente a solicitud si no se necesita exportacion), todos los datos personales seran eliminados permanentemente de los sistemas activos en un plazo de 14 dias.
- Los datos en copias de seguridad cifradas se eliminaran mediante la rotacion regular de copias de seguridad (maximo 14 dias despues de la eliminacion de los sistemas activos).
Para cuentas de prueba que no se conviertan en suscripcion de pago, todos los datos se eliminan automaticamente 33 dias despues de la expiracion de la prueba.
12. Notificacion de Violaciones de Seguridad
El Encargado notificara al Responsable sin demora indebida (y en todo caso dentro de las 48 horas) despues de tener conocimiento de una violacion de la seguridad de los datos personales que afecte los datos del Responsable. La notificacion incluira:
- La naturaleza de la violacion, incluidas las categorias y el numero aproximado de interesados y registros afectados
- Las consecuencias probables de la violacion
- Las medidas adoptadas o propuestas para remediar la violacion
El Responsable sigue siendo responsable de determinar si es necesaria la notificacion a la autoridad de control (Art. 33 RGPD) o a los interesados (Art. 34 RGPD).
13. Ley Aplicable
Este DPA se rige por el Reglamento General de Proteccion de Datos (UE) 2016/679 y, en su caso, por las leyes nacionales de proteccion de datos del pais de establecimiento del Responsable.