Capafy logo Capafy
Empezar

Anexo D — Acuerdo de procesamiento de datos

Versión: v1.3
Fecha de entrada en vigor: 11 de agosto de 2026
Incorporado a: Acuerdo del Publisher de Capafy

Este Anexo D forma parte del Acuerdo del Publisher entre CAPAFY PTE. LTD. (UEN: 202619379G) ("nosotros", "nos", "Capafy" o la "Plataforma") y el Publisher ("usted" o el "Publisher"). Regula las disposiciones de protección de datos de las partes para los Datos Personales procesados en relación con Agentes alojados en la nube.

La Sección D.1 establece cómo se asignan las funciones de protección de datos de las partes para cada categoría de datos y actividad de tratamiento cubierta por este Anexo. Cuando Capafy actúa como encargado o subencargado, las disposiciones sobre encargados de este Anexo tienen por objeto abordar los requisitos aplicables del artículo 28(3) del RGPD y de leyes análogas.

Índice

D.1 Alcance y aplicabilidad

Este Anexo se aplica al acceso alojado en la nube por Suscripción y por Horas, y a una revisión de seguridad únicamente en la medida en que la revisión trate Datos Personales. No se aplica al uso posterior a la entrega de un Paquete de Skill descargable, salvo los datos propios de cuenta, pagos, seguridad, cumplimiento y Operacionales de la Plataforma de Capafy.

Los mismos Datos Personales pueden tratarse para más de una finalidad distinta. Las funciones de las partes se determinan por separado para cada actividad de tratamiento indicada a continuación.

Categoría de tratamiento Asignación de funciones Disposiciones aplicables
1. Archivos del Agente y Datos de ejecución del Agente en tiempo real
Esta categoría incluye los Archivos del Agente, las credenciales alojadas por el Publisher y el contenido de las interacciones Usuario–Agente tratado por Capafy únicamente para alojar y ejecutar el Agente del Publisher, enrutar solicitudes y respuestas y devolver el resultado conforme al Agente configurado y a las Instrucciones documentadas del Publisher. 		Publisher: responsable del tratamiento. Cuando actúa en nombre de un responsable anterior, el Publisher es encargado.
Capafy: encargado del Publisher o subencargado del responsable anterior, según corresponda. 		Las Secciones D.3, D.4, D.5, D.6, D.7, D.8, D.9, D.10 y D.14 se aplican a esta categoría.
2. Registros de ejecución y Datos Operacionales de la Plataforma
Esta categoría incluye copias o registros conservados por Capafy después de la ejecución o junto con ella para la seguridad e integridad de la Plataforma, la prevención del fraude y abuso, la resolución de disputas, auditoría, cumplimiento legal, apoyo a facturación y liquidación, y el período de conservación de 90 días de los Registros de ejecución. 		Capafy: responsable independiente. Capafy determina las finalidades y los medios esenciales de este tratamiento, incluido el período de conservación, los controles de acceso, la revisión de seguridad y el uso para las finalidades indicadas.
Publisher: respecto de su tratamiento separado a través de su Agente o Servicio Externo Seleccionado por el Publisher, actúa en la función exigida por las Leyes de Protección de Datos aplicables. Nada en esta categoría otorga al Publisher derecho a recibir Registros de ejecución u otros datos de Capafy como responsable independiente. 		El tratamiento de esta categoría por Capafy se rige por el Acuerdo del Publisher, la Política de Privacidad de Capafy y la ley aplicable. Esta categoría no está sujeta a las Instrucciones del Publisher ni a las disposiciones de asistencia propias de un encargado de este Anexo.
3. Datos de cuenta de Usuario, checkout, pago, liquidación y operaciones generales de la Plataforma Capafy: responsable independiente. El tratamiento se rige por el Acuerdo del Publisher, la Política de Privacidad de Capafy y la ley aplicable.
4. Servicios Externos Seleccionados por el Publisher
Un proveedor de LLM externo, API, base de datos, búsqueda u otro servicio externo seleccionado o configurado por el Publisher se rige por la relación del Publisher con dicho servicio y por la función de protección de datos aplicable a ese tratamiento. La operación de infraestructura proxy o relay de Capafy no convierte por sí sola dicho servicio en subencargado de Capafy ni convierte a Capafy en proveedor o revendedor del servicio de inferencia LLM externo. El Publisher debe realizar las divulgaciones exigidas por el Acuerdo del Publisher para cada flujo externo de datos. 		La función se determina según la relación del Publisher con el servicio externo. Se aplican los términos del servicio seleccionado por el Publisher y las Leyes de Protección de Datos aplicables.

D.2 Definiciones

Archivos del Agente — conjunto completo de archivos, prompts, scripts y configuraciones que usted nos envía para la ejecución alojada en la nube.

Datos de ejecución del Agente en tiempo real — contenido de interacción Usuario–Agente tratado transitoriamente por Capafy únicamente para enrutar una solicitud, ejecutar el Agente del Publisher y devolver el resultado. Excluye copias o registros conservados por Capafy como Registros de ejecución o Datos Operacionales de la Plataforma para sus finalidades propias de responsable independiente conforme a la Sección D.1.

Proxy de credenciales — mecanismo para inyectar sus credenciales API alojadas en las solicitudes del Agente durante la ejecución. Las credenciales se almacenan cifradas y ninguna persona puede acceder a su valor en texto plano. Solo se aplica a credenciales registradas mediante la Consola del Publisher como credenciales alojadas; las credenciales incrustadas directamente en sus Archivos del Agente — incluidas las escritas en declaraciones de variables de entorno, archivos de configuración, plantillas de prompts o cualquier otro componente del Skill Package — no son gestionadas, almacenadas ni protegidas por nosotros y quedan totalmente fuera del alcance de este mecanismo.

Registros de ejecución — registros estructurados de actividad de ejecución del Agente y contenido de conversaciones Usuario–Agente conservados por Capafy para las finalidades de responsable independiente indicadas en la Sección D.1, incluida la resolución de disputas y auditoría. Se indexan por sesión, se conservan durante 90 días después de la limpieza de la instancia salvo que la ley exija un plazo mayor y no se ponen a disposición de los Publishers mediante la Consola del Publisher ni ningún canal de datos rutinario.

Instrucciones — directrices que usted nos comunica sobre el tratamiento de datos personales conforme a este Anexo, incluida la configuración y operación de la Plataforma descritas en el Acuerdo del Publisher y cualquier instrucción escrita adicional.

Socio Encargado — Publisher que es a su vez encargado y actúa en nombre de un responsable anterior.

Servicio Externo Seleccionado por el Publisher — proveedor LLM externo, API, base de datos, proveedor de búsquedas u otro servicio seleccionado o configurado por el Publisher para utilizarlo con un Agente.

Sandbox de Revisión — entorno de prueba aislado que utiliza nuestro equipo de revisión para evaluar el comportamiento del Agente durante la revisión de seguridad, diseñado para que los revisores no accedan a sus Archivos del Agente originales.

Incidente de Seguridad — cualquier evento que implique acceso, divulgación, alteración o destrucción no autorizados de datos personales.

D.3 Instrucciones y obligaciones del Socio Encargado

Esta Sección se aplica únicamente a los Archivos del Agente y Datos de ejecución del Agente en tiempo real descritos en la Sección D.1, cuando Capafy actúa como encargado o subencargado. Capafy tratará esos Datos Personales únicamente conforme a las Instrucciones documentadas del Publisher, salvo que la ley aplicable exija lo contrario. Las Instrucciones del Publisher constan en este Anexo, el Acuerdo del Publisher, el Agente configurado por el Publisher y cualquier instrucción escrita adicional compatible con dichos documentos.

Si Capafy considera razonablemente que una Instrucción infringiría las Leyes de Protección de Datos aplicables, o la ley impide seguirla, Capafy notificará al Publisher sin demora y suspenderá el tratamiento afectado hasta resolver el asunto. Capafy no incumple este Anexo por rechazar una Instrucción que razonablemente considere ilícita.

Si el Publisher es un Socio Encargado, garantiza que el responsable anterior pertinente ha autorizado el tratamiento descrito en este Anexo y el nombramiento de Capafy como subencargado para la categoría aplicable. El Publisher deberá remitir a dicho responsable cualquier aviso que la ley exija que reciba.

Para Registros de ejecución, Datos Operacionales de la Plataforma, datos de cuenta, checkout, pago, liquidación, seguridad y otros tratamientos como responsable independiente descritos en la Sección D.1, Capafy actúa conforme a su Política de Privacidad y la ley aplicable, no conforme a las Instrucciones del Publisher.

D.4 Finalidades y limitaciones del tratamiento

Tratamiento como encargado. Solo para Archivos del Agente y Datos de ejecución del Agente en tiempo real, Capafy trata Datos Personales únicamente para:

  • alojar y ejecutar el Agente del Publisher y entregar su resultado al Usuario correspondiente;
  • crear, mantener y finalizar la sesión necesaria para ejecutar dicho Agente;
  • enrutar solicitudes y respuestas mediante la infraestructura proxy o relay de Capafy;
  • inyectar credenciales API alojadas por el Publisher mediante el Proxy de credenciales; y
  • proporcionar las medidas de seguridad necesarias para proteger ese tratamiento como encargado.

Tratamiento como responsable independiente. Capafy trata Registros de ejecución, Datos Operacionales de la Plataforma y las demás categorías de responsable independiente de la Sección D.1 para la seguridad e integridad de la Plataforma, prevención del fraude y abuso, revisión de seguridad, resolución de disputas, auditoría, apoyo a facturación y liquidación, cumplimiento legal y los períodos de conservación indicados en este Anexo, el Acuerdo del Publisher y la Política de Privacidad.

Seguridad de mensajes. Capafy puede examinar los mensajes entrantes para detectar amenazas de seguridad y filtrar el resultado saliente del Agente para evitar filtraciones de credenciales. Cuando detecte una credencial, puede sustituirla por un marcador de redacción y notificará al Publisher.

Capafy no:

  • utilizará los Archivos del Agente, incluidos prompts, lógica y configuraciones, para entrenar un modelo de IA o sistema de aprendizaje automático;
  • copiará o adaptará la lógica funcional del Agente para crear un producto o servicio competidor;
  • proporcionará los Archivos del Agente a un tercero no autorizado;
  • contactará a los Usuarios para eludir al Publisher y establecer una relación comercial independiente; ni
  • permitirá acceso a datos de conversaciones de Usuarios sin procesar fuera de los procesos autorizados de Capafy para disputas, auditoría, seguridad y cumplimiento legal.

D.5 Confidencialidad y controles de acceso

Garantizamos que todo el personal con acceso a sus Archivos del Agente o a datos de interacción del Usuario esté sujeto a obligaciones apropiadas de confidencialidad.

  • El acceso al código y contenido del Agente está sujeto a estrictos controles de mínimo privilegio
  • Nuestro equipo de revisión evalúa el comportamiento del Agente mediante el Sandbox de revisión, diseñado para impedir el acceso a sus Archivos del Agente originales
  • El acceso de nuestro personal técnico a datos de conversaciones de Usuario sin procesar requiere doble aprobación y se limita a los procesos autorizados de Capafy para disputas, auditoría, seguridad y cumplimiento legal
  • Sus credenciales de API se almacenan cifradas, aisladas de nuestros sistemas empresariales generales, y no son accesibles en texto claro para ninguna persona

D.6 Conservación y eliminación de datos

Períodos de conservación:

Tipo de datos Función / Finalidad Período de conservación Eliminación
Archivos del Agente (código, scripts y configuraciones) Tratamiento como encargado / subencargado Eliminados dentro de los 30 días posteriores al fin de cualquier período de transición permitido por las Secciones 5.5 y 15.4 del Acuerdo del Publisher, o dentro de los 30 días de la terminación cuando no se aplique un período de transición Eliminación segura, sujeta a la ley aplicable, retenciones legales y rotación ordinaria de copias de seguridad
Credenciales API alojadas Tratamiento como encargado / subencargado Eliminadas inmediatamente a solicitud, retirada o revocación del Publisher; de lo contrario, borradas dentro de los 30 días posteriores al fin del período de transición permitido o dentro de los 30 días de la terminación cuando no se aplique Eliminación segura inmediata
Registros de ejecución (incluidas conversaciones Usuario–Agente) Tratamiento de Capafy como responsable independiente para disputas, auditoría, seguridad e integridad 90 días después de la limpieza de la instancia, salvo que la ley exija un plazo mayor o exista retención legal Eliminación segura automática
Registros de revisión de seguridad Tratamiento de Capafy como responsable independiente 1 año Eliminación segura
Registros de incidentes de seguridad Tratamiento de Capafy como responsable independiente 7 años Eliminación segura

Eliminación iniciada por el Publisher:

  • Puede eliminar o sustituir credenciales API alojadas en cualquier momento mediante la Consola del Publisher; las sustituciones surten efecto al iniciar el siguiente contenedor y las eliminaciones, de inmediato.
  • Dar de baja un Agente lo elimina del marketplace e impide nuevas sesiones, pero no elimina los Archivos del Agente conservados para sesiones activas o pendientes.
  • Para solicitar la eliminación permanente de sus Archivos del Agente al darse de baja, contacte con [email protected].

Solicitudes de eliminación de interesados:

Las solicitudes relativas a Registros de ejecución, Datos Operacionales de la Plataforma, datos de cuenta, pagos u otros tratamientos de Capafy como responsable independiente son gestionadas por Capafy conforme a su Política de Privacidad y la ley aplicable. Capafy no está obligada a revelar al Publisher la dirección de correo de la cuenta Capafy del Usuario, su perfil personal ni los registros de conversaciones sin procesar, salvo que la ley exija dicha divulgación.

Cuando la solicitud se refiera a Archivos del Agente o Datos de ejecución del Agente en tiempo real tratados por Capafy como encargado o subencargado, Capafy prestará asistencia razonable conforme a la Sección D.9. Puede solicitar al Publisher información fáctica limitada cuando sea razonablemente necesario, pero solo proporcionará la información mínima necesaria y no facilitará Registros de ejecución sin procesar mediante la Consola del Publisher u otro canal rutinario.

D.7 Medidas técnicas y organizativas de seguridad

Nuestras medidas de seguridad:

Seguridad de almacenamiento:

  • Los Archivos del Agente, Registros de ejecución y credenciales de API se cifran en reposo
  • Las credenciales de API se almacenan en un almacén de secretos dedicado y aislado; ninguna persona, incluidos nuestros ingenieros, tiene acceso en texto claro
  • El acceso entre Archivos del Agente de distintos Publicadores está estrictamente segregado; el acceso entre datos de sesión de distintos Usuarios está estrictamente segregado
  • El acceso de personal a datos de producción requiere doble aprobación

Seguridad del entorno de ejecución:

  • Cada sesión de Usuario se ejecuta en un entorno aislado; los datos de la sesión de un Usuario no son accesibles para otro Usuario
  • Las sesiones usadas para revisión de seguridad y pruebas internas están completamente aisladas de las sesiones comerciales de Usuario; no generan pedidos ni registros de ingresos
  • El acceso de red saliente desde entornos del Agente está controlado; el Proxy de credenciales inyecta credenciales de API solo para solicitudes a las URL de API declaradas en su Agente

Canal de seguridad de mensajes:

  • Todos los mensajes de Usuario pasan por una capa de análisis de seguridad antes de llegar a su Agente
  • Toda salida del Agente pasa por un filtro de seguridad antes de entregarse al Usuario; la salida que contiene formatos de credenciales detectados se redacta
  • Estas capas de seguridad operan fuera del entorno de ejecución del Agente y no pueden ser eludidas por el código del Agente

Seguridad de transmisión:

  • Todos los datos en tránsito se cifran usando protocolos de seguridad de transporte estándar actuales de la industria

Seguridad continua:

  • Realizamos pruebas internas continuas de seguridad de nuestra infraestructura y código, y contrataremos pruebas de penetración independientes de terceros según lo justifiquen nuestra escala y perfil de riesgo
  • Ejecutamos análisis automatizado continuo de vulnerabilidades en nuestra infraestructura y código, y realizamos análisis estático y conductual a nivel de Skill de los Archivos del Agente antes y durante la publicación
  • Mantenemos, o trabajamos para mantener, una certificación de seguridad reconocida por la industria (como ISO 27001 o una norma equivalente); los detalles están disponibles previa solicitud escrita
  • Cuando detectamos código malicioso en un Agente, retiramos inmediatamente el Agente, notificamos a los Usuarios afectados y publicamos un aviso de seguridad

Sus responsabilidades de seguridad:

Usted es responsable de:

  • Usar la Plataforma de forma segura y de acuerdo con el Acuerdo del Publicador
  • Mantener la seguridad y confidencialidad de sus credenciales de la Consola del Publicador
  • Configurar adecuadamente los ajustes de seguridad del Agente para su caso de uso
  • Cualquier dato personal almacenado o procesado en sistemas fuera de la Plataforma, incluidos sus propios servidores o servicios de terceros llamados por su Agente
  • Garantizar que cualquier credencial requerida por su Agente esté registrada mediante la Consola del Publicador como credencial alojada. Si incrusta credenciales — incluidas claves API, tokens o secretos — directamente en sus Archivos del Agente (por ejemplo, en declaraciones de variables de entorno, archivos de configuración o plantillas de prompts), dichas credenciales no están bajo nuestro control ni protección. No asumimos responsabilidad por cualquier exposición, fuga o uso indebido de credenciales incrustadas de este modo

Usted reconoce que nuestras medidas de seguridad, teniendo en cuenta la naturaleza de los servicios y el estado de la técnica, proporcionan un nivel apropiado de protección para los datos personales procesados conforme a este Anexo.

D.8 Evaluaciones de impacto relativas a la protección de datos

Cuando la legislación aplicable de protección de datos (incluido el artículo 35 del GDPR) le exija realizar una Evaluación de Impacto relativa a la Protección de Datos en relación con su uso de la Plataforma, le asistiremos proporcionando, previa solicitud escrita:

  • una descripción de nuestras actividades de procesamiento de datos y medidas de seguridad pertinentes para la evaluación
  • información sobre nuestros subencargados y mecanismos de transferencia de datos
  • extractos pertinentes de nuestra documentación de seguridad

Responderemos a dichas solicitudes dentro de un plazo razonable.

D.9 Asistencia con los derechos de los interesados

Esta Sección se aplica únicamente cuando Capafy actúa como encargado o subencargado de Archivos del Agente o Datos de ejecución del Agente en tiempo real conforme a la Sección D.1. Teniendo en cuenta la naturaleza de ese tratamiento, Capafy prestará asistencia razonable al Publisher para responder a una solicitud válida del interesado en la medida exigida por las Leyes de Protección de Datos aplicables.

Para solicitudes relativas a Registros de ejecución, Datos Operacionales de la Plataforma, datos de cuenta, pagos u otro tratamiento de Capafy como responsable independiente, Capafy responde en su propia función conforme a su Política de Privacidad y la ley aplicable. El Publisher no tiene derecho a recibir Registros de ejecución sin procesar, contenido de conversaciones, la dirección de correo de la cuenta Capafy del Usuario ni su perfil personal, salvo que la ley aplicable exija su divulgación.

Para el tratamiento como encargado, Capafy puede proporcionar información de estado adecuada, ejecutar una instrucción documentada de rectificación, restricción o eliminación cuando la ley lo exija y ayudar con una respuesta mediante un proceso seguro y específico para el caso. Esto no obliga a Capafy a poner Registros de ejecución sin procesar a disposición del Publisher.

D.10 Proveedores de servicios y subencargados

Para los Archivos del Agente y Datos de ejecución del Agente en tiempo real tratados por Capafy como encargado o subencargado, Capafy puede utilizar los siguientes subencargados, sujetos al proceso de notificación y objeción de esta Sección:

Categoría Actividades de tratamiento Tipos de datos Región
Proveedor de infraestructura en la nube Alojamiento, entorno de ejecución y almacenamiento cifrado para el tratamiento como encargado o subencargado Archivos del Agente, Datos de ejecución del Agente en tiempo real y credenciales API alojadas UE (Fráncfort) y EE. UU. (San Francisco)

Capafy puede nombrar un nuevo subencargado para ese tratamiento mediante aviso escrito previo de al menos 30 días sobre un cambio material. El Publisher puede presentar una objeción escrita y motivada dentro de los 14 días siguientes al aviso. Si Capafy no puede resolver razonablemente la objeción, el Publisher puede terminar el tratamiento afectado con un preaviso escrito de 30 días y sin penalización.

Para Registros de ejecución, Datos Operacionales de la Plataforma y otros datos que Capafy trate como responsable independiente, Capafy puede utilizar proveedores que actúen por cuenta de Capafy. Esos proveedores son encargados de Capafy, no subencargados del Publisher, y se rigen por la Política de Privacidad de Capafy y la ley aplicable.

Servicios Externos Seleccionados por el Publisher. Un Servicio Externo Seleccionado por el Publisher no es subencargado de Capafy únicamente porque Capafy enrute contenido de interacción hacia él mediante la infraestructura proxy o relay. El Publisher es responsable de seleccionar, configurar y contratar ese servicio, determinar la función de protección de datos aplicable y realizar las divulgaciones de flujo de datos exigidas por el Acuerdo del Publisher. Esto no limita la responsabilidad de Capafy por un encargado o subencargado que contrate de forma independiente para sus propias actividades de tratamiento.

D.11 Transferencias transfronterizas de datos

Cuando transferimos datos personales fuera de la jurisdicción en la que fueron recogidos, nos basamos en los siguientes mecanismos:

Cualquier SCC, UK IDTA o Addendum del Reino Unido, o modificación suiza incorporada por este Anexo, se aplica únicamente a las transferencias y funciones descritas expresamente en la Sección D-2.4.

Ruta de transferencia Mecanismo
UE / Reino Unido → terceros países Cláusulas Contractuales Tipo de la UE (versión 2021); Acuerdo Internacional de Transferencia de Datos del Reino Unido (IDTA) cuando corresponda
Singapur → otros países Reglas de transferencia transfronteriza del PDPA
Otras jurisdicciones Mecanismos locales de transferencia aplicables

Si concluye que un mecanismo de transferencia en el que nos basamos ya no proporciona protección adecuada, puede notificarnos por escrito. Trabajaremos con usted de buena fe para identificar un mecanismo alternativo. Si no puede acordarse un mecanismo adecuado dentro de 30 días, puede terminar este Anexo por conveniencia sin penalización.

D.12 Vigencia, terminación y eliminación de datos

Vigencia. Este Anexo entra en vigor y se aplica según lo descrito en la Sección D.15. Permanece vigente hasta que el Publisher se dé de baja como Publisher o se termine la cuenta del Publisher.

Eliminación de datos al terminar:

Al finalizar el tratamiento aplicable como encargado o subencargado, los Archivos del Agente se eliminarán dentro de los 30 días posteriores al fin de cualquier período de transición permitido por las Secciones 5.5 y 15.4 del Acuerdo del Publisher, o dentro de los 30 días de la terminación cuando no se aplique un período de transición, en cada caso sujetos a la ley aplicable, retenciones legales y rotación ordinaria de copias de seguridad.

A solicitud escrita del Publisher realizada antes de la eliminación, Capafy devolverá en un formato de uso común los Datos Personales restantes tratados exclusivamente como encargado o subencargado y después eliminará sus copias restantes como encargado, salvo que la ley aplicable exija conservarlos.

Datos conservados después de la terminación:

Tipo de datos Período de conservación
Registros de revisión de seguridad 1 año
Registros de ejecución 90 días después de la limpieza de la instancia
Registros de incidentes de seguridad 7 años

Obligaciones continuas:

Nuestras obligaciones de confidencialidad respecto de sus Archivos del Agente sobreviven indefinidamente a la terminación de este Anexo. Nuestra prohibición de usar sus Archivos del Agente o información derivada con fines competitivos es permanente.

D.13 Responsabilidad

Las limitaciones de responsabilidad de la Sección 11 del Acuerdo del Publisher se aplican a las reclamaciones que surjan de este Anexo o estén relacionadas con él, salvo en la medida en que la ley aplicable no permita excluir o limitar la responsabilidad.

D.14 Cumplimiento del artículo 28(3) del GDPR

Solo para los Archivos del Agente y los Datos de ejecución del Agente en tiempo real, cuando Capafy actúa como encargado o subencargado conforme a la Sección D.1, este Anexo pretende abordar los requisitos aplicables del artículo 28(3) del RGPD. No caracteriza el tratamiento de Capafy como responsable independiente como tratamiento de encargado:

Requisito del artículo 28(3) del GDPR Abordado en
Procesamiento solo conforme a instrucciones documentadas §D.3
Notificación si las instrucciones infringen la ley aplicable §D.3
Obligaciones de confidencialidad §D.5
Medidas técnicas y organizativas de seguridad §D.7
Gestión de subencargados §D.10
Asistencia con derechos de los interesados §D.9
Asistencia con DPIA y consultas previas §D.8
Asistencia con notificación de incidentes de seguridad §D-2.7
Devolución o eliminación de datos al terminar §D.12
Provisión de evidencia de cumplimiento §D-2.8
Registros de procesamiento (artículo 30) §D-2.10

D.15 Disposiciones generales

Modificaciones de este Anexo. Podemos modificar este Anexo:

  • para cumplir un cambio en la legislación aplicable de protección de datos o una decisión vinculante de una autoridad supervisora competente;
  • para reflejar cambios en subencargados notificados conforme a §D.10; o
  • para cambios administrativos no materiales que no reduzcan sus derechos ni amplíen nuestras actividades de procesamiento.

Para modificaciones materiales, daremos aviso conforme a PA §14. Las Cláusulas Contractuales Tipo incorporadas a este Anexo solo pueden modificarse según lo permita expresamente el marco SCC aplicable; nada en este Anexo sustituye ni modifica ninguna disposición SCC.

Orden de prelación. Si existe conflicto entre este Anexo y el cuerpo del Acuerdo del Publicador sobre una cuestión de procesamiento de datos, prevalece este Anexo. Si se aplican Cláusulas Contractuales Tipo, estas prevalecen sobre el resto de este Anexo en la medida de cualquier conflicto.

Ley aplicable y disputas. Este Anexo se rige por la ley de Singapur. Las disputas surgidas conforme a este Anexo se resuelven de acuerdo con las disposiciones de resolución de disputas del Acuerdo del Publicador.

Idioma. El inglés es el único idioma autorizado de este Anexo. Cualquier traducción se proporciona únicamente como referencia.

Aceptación. Este Anexo entra en vigor cuando se acepta el Acuerdo del Publisher conforme a sus Secciones 2.2 o 2.3. Las disposiciones de encargado de las Secciones D.3 a D.10 se aplican únicamente desde que Capafy comienza a tratar Archivos del Agente o Datos de ejecución del Agente en tiempo real como encargado o subencargado conforme a la Sección D.1.

Apéndice D-1 — Objeto y detalles del procesamiento de datos

Este Apéndice cumple los requisitos de descripción del artículo 28(3)(a) del GDPR.

Elemento Detalles
Objeto Prestación de servicios de ejecución de Agentes alojados en la nube (Suscripción y Acceso por hora alojado en la nube) por la Plataforma en nombre del Publicador
Duración Durante la vigencia de este Anexo, como se describe en §D.12
Naturaleza del procesamiento Alojamiento, ejecución, almacenamiento, transmisión, análisis de seguridad y registro de datos en relación con la operación de Agentes del Publicador en la Plataforma
Finalidad Según se describe en §D.4; únicamente para proporcionar los servicios acordados en el Acuerdo del Publicador
Tipos de datos personales Mensajes de Usuario y contenido de conversaciones; información de contexto proporcionada por el Usuario (si existe); datos de uso de sesión; metadatos generados durante la ejecución del Agente
Categorías de interesados Usuarios que interactúan con Agentes del Publicador mediante la Plataforma
Rol del Publicador Responsable cuando el Publicador determina los fines y medios del tratamiento; encargado cuando actúa por cuenta de un responsable superior, según la Sección D.1
Rol de Capafy CAPAFY PTE. LTD. (UEN: 202619379G), que actúa como encargado cuando el Publicador es el responsable, o como subencargado del responsable superior cuando el Publicador es un Socio Encargado, según la Sección D.1

Apéndice D-2 — Términos adicionales para la legislación europea de protección de datos

D-2.1 Aplicación

Este Apéndice se aplica cuando la Legislación Europea de Protección de Datos rige el procesamiento de datos personales conforme a este Anexo. “Legislación Europea de Protección de Datos” significa, según corresponda: el Reglamento General de Protección de Datos de la UE (GDPR 2016/679); el UK GDPR y la Data Protection Act 2018; y la Ley Federal Suiza de Protección de Datos (FADP).

Cuando este Apéndice entre en conflicto con el resto de este Anexo sobre una cuestión regida por la Legislación Europea de Protección de Datos, prevalece este Apéndice. Cuando se apliquen Cláusulas Contractuales Tipo conforme a §D-2.4, las SCC prevalecen sobre el resto de este Apéndice y este Anexo en la medida de cualquier conflicto.

D-2.2 Definiciones adicionales

País adecuado — un país, territorio o sector reconocido conforme a la Legislación Europea de Protección de Datos aplicable como proveedor de un nivel adecuado de protección de datos personales (incluidos, a efectos del GDPR de la UE, los países enumerados en una decisión de adecuación de la Comisión Europea).

EEE — el Espacio Económico Europeo.

SCC — las Cláusulas Contractuales Tipo para la transferencia de datos personales a terceros países conforme al GDPR de la UE, adoptadas por la Comisión Europea mediante la Decisión 2021/914 de 4 de junio de 2021, en el módulo aplicable a la transferencia según se establece en §D-2.4.

UK IDTA — el Acuerdo Internacional de Transferencia de Datos emitido por la Oficina del Comisionado de Información del Reino Unido, según se modifique periódicamente.

Autoridad Supervisora — la autoridad supervisora competente de protección de datos conforme a la Legislación Europea de Protección de Datos aplicable.

D-2.3 Socio encargado (contexto europeo)

Cuando usted sea Socio encargado conforme a §D.3 y se aplique la Legislación Europea de Protección de Datos, también debe:

  • asegurarse de que el responsable del tratamiento anterior haya sido informado y haya autorizado el subprocesamiento descrito en este Anexo, como exige el artículo 28(2) del GDPR; y
  • reenviar al responsable del tratamiento pertinente, con prontitud y sin dilación indebida, cualquier aviso que le proporcionemos conforme a este Apéndice y que el responsable tenga derecho a recibir conforme a la ley aplicable.

D-2.4 Transferencias de datos personales fuera del EEE, Reino Unido o Suiza

Esta Sección se aplica únicamente cuando los Datos Personales de la categoría de Archivos del Agente o Datos de ejecución del Agente en tiempo real se transfieren desde el EEE, Reino Unido o Suiza a Capafy en Singapur y Capafy actúa como encargado o subencargado conforme a la Sección D.1.

Las Cláusulas Contractuales Tipo de la UE adoptadas por la Decisión de Ejecución (UE) 2021/914 se incorporan a este Anexo para dichas transferencias de la siguiente manera:

Parámetro Valor
Módulo Módulo Dos (Responsable a Encargado), cuando el Publisher sea el responsable de la transferencia pertinente
Módulo Módulo Tres (Encargado a Encargado), cuando el Publisher sea Socio Encargado de un responsable anterior para la transferencia pertinente
Cláusula 7 (cláusula de adhesión) No se aplica
Cláusula 9 (subencargados) Opción 2 — autorización general por escrito, sujeta a los derechos de notificación y objeción de la Sección D.10
Cláusula 11 (reparación) No se incluye el texto opcional
Cláusula 17 (ley aplicable) Ley de la República de Irlanda
Cláusula 18 (jurisdicción) Tribunales de la República de Irlanda
Exportador de datos El Publisher, como responsable para el Módulo Dos o como encargado para el Módulo Tres, según se identifique para la transferencia pertinente en el Apéndice D-1
Importador de datos CAPAFY PTE. LTD. (UEN: 202619379G), como encargado para el Módulo Dos o subencargado para el Módulo Tres
Apéndice I Apéndice D-1 de este Anexo, limitado a la categoría de tratamiento pertinente
Apéndice II Sección D.7 de este Anexo

Cuando Capafy recopile o conserve Registros de ejecución, Datos Operacionales de la Plataforma, datos de cuenta, checkout, pagos o liquidación como responsable independiente, esta Sección no pretende aplicar el Módulo Dos o Tres a ese tratamiento. Toda transferencia separada entre responsables, si existe, debe evaluarse y documentarse conforme al mecanismo aplicable a esa transferencia específica.

Para transferencias al Reino Unido dentro del ámbito de esta Sección, se aplica el UK IDTA o un Addendum válido del Reino Unido a las SCC de la UE, completado con la información del Apéndice D-1 y de las Secciones D.7 y D.10. Para transferencias a Suiza dentro del ámbito de esta Sección, las SCC se aplican con las modificaciones exigidas por la legislación suiza y las directrices aplicables.

D-2.5 Notificaciones de instrucciones (contexto europeo)

Le notificaremos sin dilación indebida si, según nuestra evaluación, una Instrucción que nos haya dado infringiría la Legislación Europea de Protección de Datos. Suspenderemos el procesamiento afectado en espera de su aclaración o de una Instrucción revisada. Esta obligación no afecta nuestras obligaciones generales de notificación de instrucciones conforme a §D.3.

D-2.6 Derechos de los interesados (contexto europeo)

Teniendo en cuenta la naturaleza del procesamiento, le asistiremos en la respuesta a solicitudes de interesados conforme a la Legislación Europea de Protección de Datos mediante los medios descritos en §D.9. Cuando un interesado nos presente directamente una solicitud, Capafy acusará recibo y verificará la identidad cuando sea practicable. Capafy determinará y gestionará las solicitudes relacionadas con el tratamiento que realiza como responsable independiente conforme a su Política de Privacidad y a la legislación aplicable. Para el tratamiento como encargado o subencargado comprendido en el ámbito de este Apéndice, Capafy prestará la asistencia descrita en la Sección D.9 y, cuando corresponda, podrá remitir al interesado al Publisher o solicitar al Publisher información limitada. Capafy no está obligada a revelar al Publisher la dirección de correo electrónico de la cuenta de Capafy del interesado, su perfil personal ni los registros brutos de las conversaciones de los Usuarios, salvo cuando lo exija la legislación aplicable.

D-2.7 Notificación de incidentes de seguridad (contexto europeo)

Cuando un Incidente de seguridad implique datos personales protegidos por la Legislación Europea de Protección de Datos:

  • le notificaremos sin dilación indebida y, en cualquier caso, con tiempo suficiente para permitirle cumplir sus obligaciones de notificación conforme al artículo 33 del GDPR (72 horas desde que usted tenga conocimiento de una violación de datos personales);
  • nuestra notificación incluirá, en la medida disponible en ese momento: la naturaleza del incidente; las categorías y el número aproximado de interesados y registros afectados; consecuencias probables; y medidas adoptadas o propuestas para abordar el incidente;
  • cooperaremos con usted y proporcionaremos toda la información adicional razonablemente solicitada para ayudarle a notificar a la Autoridad Supervisora pertinente y, cuando sea necesario, a los interesados afectados.

D-2.8 Información de cumplimiento (contexto europeo)

Cuando se aplique la Legislación Europea de Protección de Datos, pondremos a su disposición, previa solicitud escrita, documentación razonablemente necesaria para demostrar el cumplimiento de nuestras obligaciones conforme al artículo 28 del GDPR. Satisfacemos esta obligación principalmente mediante documentación escrita — incluidas descripciones de nuestras actividades de procesamiento de datos, las medidas de seguridad descritas en §D.7 y cualquier evaluación o certificación de seguridad independiente existente que poseamos. Usted acepta tratar cualquier documentación proporcionada como confidencial.

D-2.9 Subencargados (contexto europeo)

Cuando se aplique la Legislación Europea de Protección de Datos, garantizamos que cada subencargado esté sujeto a un contrato escrito que imponga obligaciones de protección de datos equivalentes a las de este Anexo, según exige el artículo 28(4) del GDPR. Seguimos siendo responsables frente a usted por el desempeño de los subencargados en la medida establecida en §D.10.

D-2.10 Registros de procesamiento (contexto europeo)

Mantenemos registros de las actividades de procesamiento realizadas en su nombre según exige el artículo 30(2) del GDPR y los ponemos a disposición de la Autoridad Supervisora competente previa solicitud. Podemos pedirle que confirme o actualice la información de procesamiento que nos haya proporcionado cuando sea necesario para mantener nuestros registros exactos.

D-2.11 No modificación de SCC

Nada en este Anexo (incluido este Apéndice) modifica las SCC o el UK IDTA, ni perjudica los derechos de los interesados conforme a la Legislación Europea de Protección de Datos. En caso de conflicto entre las SCC o el UK IDTA y cualquier otro término de este Anexo, prevalecen las SCC o el UK IDTA (según corresponda).

D-2.12 Actualizaciones de SCC

Podemos actualizar el módulo o versión de SCC incorporado conforme a §D-2.4 cuando una autoridad pertinente adopte una versión nueva o sustitutiva, siempre que la versión actualizada no reduzca materialmente el nivel de protección otorgado a los interesados. Le daremos aviso razonable de cualquier actualización de este tipo.

Este Anexo es emitido por CAPAFY PTE. LTD. (UEN: 202619379G)
Dirección registrada: 60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051