Acuerdo de Procesamiento de Datos

Alcance y Roles

El cliente es el controlador y Onur Öztürk, un autónomo que opera bajo el nombre comercial Ozan Soft ("GenderAPI"), es el procesador de los datos personales del cliente enviados a través de la API, herramientas de procesamiento de archivos o funciones de hojas de cálculo conectadas.

Cada parte permanece independientemente responsable de los datos personales que procesa como controlador, incluyendo la administración de cuentas, facturación y contacto comercial por GenderAPI.

El cliente determina si los datos presentados son datos personales y es responsable de su base legal, avisos, permisos e instrucciones. El cliente no debe presentar datos que no sean procesados ni utilizados por el Servicio, ni utilizar los resultados de la inferencia como única base para una decisión que produzca efectos legales o de igual importancia sobre una persona.

Instrucciones de procesamiento

GenderAPI solo procesará los datos personales del cliente para proporcionar, garantizar y apoyar el Servicio de acuerdo con el contrato, este Acuerdo de Protección de Datos, el uso documentado del Servicio por parte del cliente y la legislación aplicable. GenderAPI informará al cliente si, en su opinión razonable, una instrucción vulnera la legislación de protección de datos aplicable, a menos que la ley prohíba dicha notificación.

GenderAPI no venderá los datos personales del cliente, no los utilizará para anuncios de comportamiento transcontextuales, no los utilizará para entrenar el modelo de inferencia privado ni los conservará en registros de IA. Las normas de conservación establecidas en la Política de Privacidad forman parte de estas instrucciones de procesamiento documentadas.

Confidencialidad y Seguridad

GenderAPI garantizará que las personas autorizadas para procesar los Datos Personales del Cliente estén sujetas a un deber adecuado de confidencialidad y solo podrán acceder a los datos cuando sea necesario para su trabajo asignado. GenderAPI mantendrá medidas técnicas y organizativas adecuadas para la naturaleza del Servicio y los riesgos asociados al procesamiento.

• Transmisión protegida con TLS para los datos intercambiados con el Servicio.
• Restricciones de acceso para los sistemas de producción, los datos de los clientes y los respaldos restringidos de acceso.
• Separación y protección de las credenciales de cuenta y las claves API de producción.
• Registro de eventos de seguridad y técnico sujeto al calendario de retención publicado.
• Backups rotativos con un período estándar de sobrescritura de hasta 15 días.
• Procesamiento de inteligencia artificial privado sin entrenamiento con datos del cliente ni registro de prompts o resultados de IA.
• Procedimientos de minimización de datos y eliminación alineados con el calendario de retención del Servicio.

Subprocesadores

El cliente otorga a GenderAPI autorización escrita general para utilizar a los proveedores identificados como subprocesadores DPA en la página de subprocesadores. GenderAPI exigirá que cada subprocesador proteja los datos personales del cliente bajo obligaciones materialmente coherentes con este DPA, según sea aplicable a los servicios que realice el subprocesador.

GenderAPI permanece responsable de sus obligaciones bajo este DPA. Los proveedores utilizados únicamente para actividades de control de GenderAPI, como facturación o comunicaciones de cuenta, se identifican por separado y no se consideran procesadores del Cliente simplemente porque aparezcan en el registro de proveedores.

GenderAPI proporcionará al menos 30 días de aviso previo a través de la página de subprocesadores, el Servicio o el correo electrónico de la cuenta del Cliente antes de añadir o reemplazar un subprocesador que procese Datos Personales del Cliente. El Cliente puede formular durante ese período una objeción razonable y documentada en materia de protección de datos.

Las partes trabajarán en buena fe por una solución comercialmente razonable; si ninguna solución está disponible, el Cliente puede dejar de utilizar la característica afectada.

Asistencia y Incidentes de Datos Personales

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, GenderAPI proporcionará asistencia razonable en solicitudes de interesados, obligaciones de seguridad, notificaciones de incumplimientos de datos personales, evaluaciones de impacto en la protección de datos y consultas requeridas por la legislación aplicable en materia de protección de datos.

Si un titular de datos contacta a GenderAPI sobre los Datos Personales del Cliente, GenderAPI puede redirigir la solicitud al Cliente a menos que la ley aplicable exija una respuesta directa.

GenderAPI notificará al Cliente sin demora indebida y, en la medida de lo posible, dentro de 48 horas tras tener conocimiento de un incumplimiento de datos personales confirmado que afecte a los datos personales del Cliente. La notificación proporcionará la información disponible razonablemente necesaria para la evaluación y las obligaciones de notificación del Cliente. La notificación no constituye una admisión de culpa ni de responsabilidad.

Devolución y Eliminación

Durante el período del Servicio, el Cliente puede recuperar los resultados disponibles a través de las funciones de Servicio compatibles. En caso de cierre del servicio, terminación del procesamiento correspondiente o solicitud válida de eliminación, GenderAPI eliminará o anonimizará de forma irreversible los Datos Personales del Cliente que permanezcan en sistemas activos dentro de los 30 días, a menos que la legislación aplicable exija su conservación.

Los datos eliminados de los sistemas activos pueden permanecer en copias de seguridad rotativas restringidas de acceso durante hasta 15 días adicionales antes de ser sobrescritos automáticamente.

El derecho legal a la conservación de registros de facturación, transacciones, prevención de fraude o disputas no autoriza el uso continuo del contenido de consultas del cliente o de archivos subidos. El calendario específico por categoría en la Política de privacidad sigue aplicándose en aquellos casos en los que establezca un período más corto.

Información y Auditorías

GenderAPI proporcionará a Cliente información razonablemente necesaria para demostrar el cumplimiento de este DPA, inicialmente a través de las políticas actuales, la documentación y una pregunta de seguridad razonable.

Si esa información no es suficiente para un obligación legal, el Cliente puede solicitar un auditoría proporcional no más de una vez al año, salvo tras un incumplimiento confirmado o una solicitud de regulador vinculante.

Una auditoría debe realizarse con suficiente aviso previo, durante las horas habituales de negocio, sin exponer los datos de otro cliente ni comprometer la seguridad. El cliente asume los costos de la auditoría a menos que esta identifique una violación material por parte de GenderAPI. Las partes acordarán primero los términos apropiados de confidencialidad y alcance.

Transferencias internacionales

Los datos personales del cliente pueden ser tratados en Turquía y, a través de infraestructura contratada, en Estados Unidos. GenderAPI utilizará un mecanismo legalmente reconocido de transferencia en los casos aplicables.

Si es necesario aplicar los Cláusulas Contractuales Estándar de la UE aprobadas por la Decisión de Ejecución de la Comisión (UE) 2021/914, el módulo de controlador a procesador incorporado en este Acuerdo de Protección de Datos prevalece sobre los términos contradictorios para dicha transferencia. Las partes completarán cualquier selección o detalle de anexo legalmente requerido para su transferencia específica al firmar el Acuerdo de Protección de Datos.

Detalles del procesamiento

Materia y duración

Procesamiento necesario para proporcionar GenderAPI durante el uso del Cliente del Servicio y para los períodos limitados de eliminación, copia de seguridad, seguridad y retención legal descritos en este Acuerdo de Protección de Datos y en la Política de Privacidad.

Naturaleza y finalidad

Recepción, transmisión, análisis y devolución de resultados para consultas de API, archivos Excel o CSV subidos, y operaciones de hojas de cálculo conectadas; más alojamiento, seguridad, solución de problemas y soporte relacionados.

Categorías de los sujetos de datos

Personas cuyos nombres, direcciones de correo electrónico, nombres de usuario o registros relacionados envía el Cliente; los usuarios, personal, contactos o usuarios finales del Cliente; y personas representadas en los datos de hojas de cálculo subidos o conectados.

Tipos de datos personales

Nombres, direcciones de correo electrónico, nombres de usuario, país o contexto de localización, campos de hojas de cálculo proporcionados por el cliente, resultado inferido de género y información de confianza, así como metadatos limitados de solicitud, dispositivo, autenticación y seguridad necesarios para operar el Servicio. El cliente no debe enviar datos de categoría especial a menos que se acuerde expresamente por escrito y esté legalmente permitido.