Acuerdo de Tratamiento de Datos

Alcance y funciones

El Cliente es el responsable del tratamiento y Onur Öztürk, empresario individual que opera con el nombre comercial Ozan Soft («GenderAPI»), es el encargado del tratamiento de los Datos Personales del Cliente enviados mediante la API, las herramientas de procesamiento de archivos o las funciones de hojas de cálculo conectadas. Cada parte sigue siendo responsable, de forma independiente, de los datos personales que trata como responsable del tratamiento, incluida la gestión de cuentas, facturación y contactos comerciales por parte de GenderAPI.

El Cliente determina si los datos enviados son datos personales y es responsable de su base jurídica, sus avisos, sus permisos y sus instrucciones. El Cliente no debe enviar datos que el Servicio no esté diseñado para tratar ni utilizar los resultados de la inferencia como única base de una decisión que produzca efectos jurídicos o de importancia similar sobre una persona.

Instrucciones de tratamiento

GenderAPI solo tratará los Datos Personales del Cliente para prestar, proteger y dar soporte al Servicio de conformidad con el acuerdo, este DPA, el uso documentado del Servicio por el Cliente y la legislación aplicable. GenderAPI informará al Cliente si, en su opinión razonable, una instrucción infringe la legislación de protección de datos aplicable, salvo que la ley prohíba dicho aviso.

GenderAPI no venderá los Datos Personales del Cliente, no los utilizará para publicidad conductual entre contextos, no los utilizará para entrenar el modelo de inferencia privado ni los conservará en registros de IA. Las normas de conservación de la Política de privacidad forman parte de estas instrucciones de tratamiento documentadas.

Confidencialidad y seguridad

GenderAPI garantizará que las personas autorizadas para tratar los Datos Personales del Cliente estén sujetas a un deber de confidencialidad adecuado y solo puedan acceder a los datos en la medida necesaria para el trabajo que tengan asignado. GenderAPI mantendrá medidas técnicas y organizativas adecuadas a la naturaleza del Servicio y a los riesgos del tratamiento.

• Transmisión protegida mediante TLS para los datos intercambiados con el Servicio.
• Restricciones de acceso a los sistemas de producción, a los datos de los clientes y a las copias de seguridad de acceso restringido.
• Separación y protección de las credenciales de cuenta y de las claves API de producción.
• Registros técnicos y de eventos de seguridad sujetos al calendario de conservación publicado.
• Copias de seguridad rotativas con un periodo estándar de sobrescritura de hasta 15 días.
• Tratamiento de IA privado, sin entrenamiento con datos de clientes ni registro de prompts o resultados de IA.
• Procedimientos de minimización y supresión de datos alineados con el calendario de conservación del Servicio.

Subencargados

El Cliente otorga a GenderAPI una autorización general por escrito para recurrir a los proveedores identificados como subencargados del DPA en la página de subencargados. GenderAPI exigirá a cada subencargado que proteja los Datos Personales del Cliente mediante obligaciones sustancialmente coherentes con este DPA, en la medida aplicable a los servicios que preste. GenderAPI seguirá siendo responsable de sus obligaciones en virtud de este DPA. Los proveedores que se utilizan únicamente para las actividades de GenderAPI como responsable del tratamiento, como la facturación o las comunicaciones de la cuenta, se identifican por separado y no se consideran encargados del Cliente por el mero hecho de figurar en el registro de proveedores.

GenderAPI avisará con al menos 30 días de antelación, a través de la página de subencargados, del Servicio o del correo electrónico de la cuenta del Cliente, antes de añadir o sustituir un subencargado que vaya a tratar Datos Personales del Cliente. Durante ese periodo, el Cliente puede formular una objeción razonable y documentada en materia de protección de datos. Las partes buscarán de buena fe una solución comercialmente razonable; si no existe, el Cliente puede dejar de utilizar la función afectada.

Asistencia e incidentes de datos personales

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, GenderAPI prestará una asistencia razonable con las solicitudes de los interesados, las obligaciones de seguridad, las notificaciones de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y las consultas exigidas por la legislación de protección de datos aplicable. Si un interesado se pone en contacto con GenderAPI en relación con Datos Personales del Cliente, GenderAPI puede remitir la solicitud al Cliente, salvo que la legislación aplicable exija una respuesta directa.

GenderAPI notificará al Cliente sin dilación indebida y, cuando sea razonablemente posible, en un plazo de 48 horas desde que tenga conocimiento de una violación confirmada de la seguridad de los datos personales que afecte a Datos Personales del Cliente. La notificación incluirá la información disponible que sea razonablemente necesaria para que el Cliente evalúe la situación y cumpla sus obligaciones de notificación. La notificación no supone un reconocimiento de culpa ni de responsabilidad.

Devolución y supresión

Durante la vigencia del Servicio, el Cliente puede recuperar los resultados disponibles mediante las funciones admitidas del Servicio. Tras el cierre de la cuenta, la finalización del tratamiento correspondiente o una solicitud de supresión válida, GenderAPI suprimirá o anonimizará de forma irreversible, en un plazo de 30 días, los Datos Personales del Cliente que permanezcan en los sistemas activos, salvo que la legislación aplicable exija su conservación. Los datos eliminados de los sistemas activos pueden permanecer hasta 15 días adicionales en copias de seguridad rotativas de acceso restringido antes de sobrescribirse automáticamente.

La conservación legal de registros de facturación, transacciones, prevención del fraude o litigios no autoriza a seguir utilizando el contenido de las consultas o de los archivos subidos por el Cliente. El calendario por categorías de la Política de privacidad sigue aplicándose cuando establece un plazo más corto.

Información y auditorías

GenderAPI pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA, inicialmente mediante las políticas y la documentación vigentes y un cuestionario de seguridad razonable. Si esa información no basta para cumplir una obligación legal, el Cliente puede solicitar una auditoría proporcionada como máximo una vez al año, salvo tras una violación confirmada o una solicitud vinculante de una autoridad de control.

La auditoría debe realizarse con un preaviso razonable, en horario laboral habitual, sin exponer datos de otros clientes ni comprometer la seguridad. El Cliente asume los costes de la auditoría, salvo que esta revele un incumplimiento sustancial por parte de GenderAPI. Las partes acordarán previamente las condiciones adecuadas de confidencialidad y alcance.

Transferencias internacionales

Los Datos Personales del Cliente pueden tratarse en Turquía y, mediante infraestructura contratada, en Estados Unidos. GenderAPI utilizará un mecanismo de transferencia legalmente reconocido cuando proceda. Si se requieren las cláusulas contractuales tipo de la UE adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, el módulo aplicable de responsable a encargado queda incorporado a este DPA y prevalece sobre los términos contradictorios para esa transferencia. Las partes completarán las opciones o los datos de los anexos que exija la ley para su transferencia concreta al formalizar el DPA.

Detalles del tratamiento

Objeto y duración

Tratamiento necesario para prestar GenderAPI mientras el Cliente utiliza el Servicio y durante los plazos limitados de supresión, copia de seguridad, seguridad y conservación legal descritos en este DPA y en la Política de privacidad.

Naturaleza y finalidad

Recepción, transmisión, análisis y devolución de resultados de consultas a la API, archivos Excel o CSV subidos y operaciones de hojas de cálculo conectadas, junto con el alojamiento, la seguridad, la resolución de problemas y el soporte relacionados.

Categorías de interesados

Personas cuyos nombres, direcciones de correo electrónico, nombres de usuario o registros relacionados envía el Cliente; usuarios, personal, contactos o usuarios finales del Cliente; y personas representadas en los datos de hojas de cálculo subidas o conectadas.

Tipos de datos personales

Nombres, direcciones de correo electrónico, nombres de usuario, país o contexto de localización, campos de hojas de cálculo aportados por el Cliente, resultado de género inferido e información de confianza, así como metadatos limitados de solicitud, dispositivo, autenticación y seguridad necesarios para operar el Servicio. El Cliente no debe enviar categorías especiales de datos salvo que se haya acordado expresamente por escrito y esté legalmente permitido.