Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos (el "DPA") forma parte de los Términos de Servicio (los "Términos") entre Melaya Labs LLC ("Melaya") y el cliente empresarial que acepta los Términos (el "Cliente"). Establece los términos que se aplican cuando Melaya trata datos personales en nombre del Cliente al prestar la plataforma Melaya, incluidos el Agentic Framework, el Assistant, los conectores, Device Control, Browser Control, Computer Control, y los servicios relacionados (los "Servicios"). Este DPA queda incorporado a los Términos por referencia y vincula al Cliente y a Melaya sin necesidad de firma. El Cliente podrá solicitar una copia contrafirmada por Melaya escribiendo a info@melaya.org.

1. Definiciones e Interpretación

En este DPA, los siguientes términos tienen los significados que se indican a continuación. Los demás términos en mayúscula inicial tienen el significado que se les atribuye en los Términos.

• "Leyes de Protección de Datos" significa todas las leyes sobre la protección de datos personales aplicables al tratamiento de los Datos Personales del Cliente en virtud de los Términos, incluidos el Reglamento (UE) 2016/679 (el "RGPD"), el RGPD en cuanto forma parte del derecho del Reino Unido (el "RGPD del Reino Unido") y la Data Protection Act 2018 del Reino Unido, y la Ley Federal de Protección de Datos de Suiza, de 25 de septiembre de 2020 (la "LPD"), cada una según sea modificada o sustituida.
• "Datos Personales del Cliente" significa los datos personales que Melaya trata en nombre del Cliente al prestar los Servicios, según se describe en el Anexo I, incluidos los datos personales contenidos en el Contenido del Usuario y los datos personales que los agentes, pipelines y conversaciones con el Assistant del Cliente lean de los Servicios Conectados o envíen a estos.
• "Usuario Autorizado" significa una persona a quien el Cliente permite utilizar los Servicios bajo la cuenta o los proyectos del Cliente.
• "Servicio Conectado" significa una aplicación, cuenta, servicio, dispositivo o proveedor de modelos de un tercero que el Cliente o sus Usuarios Autorizados conectan o seleccionan para su uso con los Servicios, como Odoo, HubSpot, Google Workspace, Microsoft Teams, Slack, una cuenta de exchange, o un proveedor de modelos de lenguaje.
• "Subencargado" significa un tercero que Melaya contrata para tratar Datos Personales del Cliente en nombre de Melaya. Un Servicio Conectado no es un Subencargado, salvo lo indicado en la Sección 3.5.
• "Violación de la Seguridad de los Datos Personales" significa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita, o la divulgación o el acceso no autorizados, de Datos Personales del Cliente transmitidos, almacenados o tratados de otro modo por Melaya o sus Subencargados. No incluye los intentos fallidos ni las actividades que no comprometan la seguridad de los Datos Personales del Cliente, como pings, escaneos de puertos, o intentos fallidos de inicio de sesión.
• "CCT" significa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países, establecidas en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.
• "Adéndum del Reino Unido" significa el Adéndum de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, emitido por el Information Commissioner del Reino Unido en virtud de la section 119A de la Data Protection Act 2018, version B1.0, vigente desde el 21 de marzo de 2022.
• "Responsable del tratamiento", "encargado del tratamiento", "interesado", "datos personales", "tratamiento" y "autoridad de control" tienen los significados que se les atribuyen en el RGPD, y comprenden los términos equivalentes en las demás Leyes de Protección de Datos.

2. Alcance y Funciones de las Partes

2.1 Este DPA se aplica cuando el Cliente utiliza los Servicios con fines comerciales o profesionales y Melaya trata los Datos Personales del Cliente en nombre del Cliente. No se aplica a una persona física que utilice los Servicios con fines puramente personales o domésticos; en ese caso rige la Política de Privacidad.

2.2 Respecto de los Datos Personales del Cliente, el Cliente es el responsable del tratamiento, o un encargado del tratamiento que actúa en nombre de su propio responsable del tratamiento, y Melaya es el encargado del tratamiento, o un subencargado del tratamiento cuando el Cliente actúe como encargado del tratamiento. Cuando el Cliente actúe como encargado del tratamiento, el Cliente garantiza que su responsable del tratamiento ha autorizado las instrucciones del Cliente y la contratación de Melaya, y que el Cliente sigue siendo el único punto de contacto de Melaya.

2.3 Melaya actúa como responsable del tratamiento independiente, y no en virtud de este DPA, respecto de los datos personales que trata para sus propios fines: creación y administración de cuentas, autenticación de Usuarios Autorizados, facturación y pagos, prevención de fraude y abuso, seguridad e integridad de los Servicios, soporte y comunicaciones de servicio, análisis agregado de uso, cumplimiento legal, y el establecimiento o la defensa de reclamaciones legales. La Política de Privacidad describe ese tratamiento.

2.4 Este DPA se aplica mientras Melaya trate Datos Personales del Cliente, incluso después de que finalicen los Términos, hasta que Melaya haya eliminado los Datos Personales del Cliente conforme a la Sección 11.

3. Tratamiento conforme a las Instrucciones del Cliente

3.1 Melaya tratará los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias a un tercer país, salvo que el derecho al que esté sujeta Melaya exija otra cosa. En tal caso, Melaya informará al Cliente de ese requisito legal antes de llevar a cabo el tratamiento, salvo que dicho derecho lo prohíba por razones importantes de interés público.

3.2 Las instrucciones documentadas del Cliente consisten en los Términos y este DPA; la configuración y el uso de los Servicios por el Cliente y sus Usuarios Autorizados, incluidos los pipelines, agentes, prompts, conversaciones con el Assistant, programaciones, disparadores, documentos cargados, índices de recuperación, conectores, el modelo y proveedor seleccionados, y el modo de aprobación o autonomía seleccionado; y cualquier instrucción adicional por escrito que acuerden las partes. El Cliente es responsable de las instrucciones que impartan sus Usuarios Autorizados y las automatizaciones que configure.

3.3 Melaya informará al Cliente sin demora indebida si, en su opinión, una instrucción infringe las Leyes de Protección de Datos, y podrá suspender el tratamiento afectado hasta que el Cliente confirme o modifique la instrucción. Melaya no está obligada a realizar una revisión legal de las instrucciones del Cliente.

3.4 Cuando el Cliente conecta un Servicio Conectado, por ejemplo una base de datos de Odoo a través del módulo de Melaya para Odoo, una cuenta de HubSpot, una cuenta de Google, Microsoft Teams o un espacio de trabajo de Slack, Melaya trata los datos que los agentes, pipelines y conversaciones con el Assistant del Cliente leen de ese servicio o escriben en él únicamente para llevar a cabo las tareas que indique el Cliente, y solo dentro del acceso que el Cliente otorgue a esa conexión, como los alcances de OAuth que el Cliente apruebe o, en el caso de Odoo, los derechos de acceso del usuario Melaya Agent. El Cliente decide qué servicios, cuentas, alcances y registros se conectan, y puede desconectarlos en cualquier momento.

3.5 Los datos que el Cliente ordene a los Servicios enviar a un Servicio Conectado, incluidos los prompts y el contexto enviados a un proveedor de modelos que el Cliente seleccione, se divulgan por instrucción del Cliente, y el Servicio Conectado los trata conforme a sus propios términos con el Cliente. Melaya no es responsable del tratamiento que un Servicio Conectado realice conforme a esos términos. Cuando un proveedor trate Datos Personales del Cliente en virtud de un contrato con Melaya y no con el Cliente, Melaya considera a ese proveedor un Subencargado conforme a la Sección 6.

3.6 Melaya no venderá los Datos Personales del Cliente ni los utilizará con fines publicitarios. Salvo lo dispuesto en esta Sección 3.6, Melaya no utilizará los Datos Personales del Cliente para entrenar o mejorar modelos de inteligencia artificial. Melaya podrá utilizar los datos de Computer Control y de interacción con aplicaciones de escritorio, según se describe en la Política de Privacidad, para entrenar, evaluar y mejorar sus propios modelos y funciones, salvo que el Cliente se oponga escribiendo a info@melaya.org. Tras una objeción, Melaya cesa ese uso de los datos del Cliente hacia el futuro.

3.7 El Cliente es responsable de contar con una base lícita para el tratamiento que instruya, de dar los avisos y obtener los consentimientos que exijan las Leyes de Protección de Datos, de tener autoridad sobre los Servicios Conectados, dispositivos, computadoras y cuentas que conecte, y de la exactitud de los Datos Personales del Cliente. El Cliente no instruirá un tratamiento que las Leyes de Protección de Datos prohíban.

4. Confidencialidad

Melaya se asegurará de que las personas que autorice para tratar los Datos Personales del Cliente se hayan comprometido a guardar confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada, y de que su acceso se limite a lo necesario para prestar, dar soporte y proteger los Servicios. Melaya no divulgará los Datos Personales del Cliente a terceros, salvo según lo permita este DPA, por instrucción del Cliente, o cuando lo exija la ley. Si una autoridad pública solicita acceso a los Datos Personales del Cliente, Melaya, cuando esté legalmente permitido, notificará al Cliente y remitirá a la autoridad al Cliente, y divulgará únicamente los datos mínimos que la solicitud exija lícitamente.

5. Seguridad

5.1 Melaya implementará y mantendrá medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente frente a una Violación de la Seguridad de los Datos Personales, conforme a lo exigido por el artículo 32 del RGPD. Esas medidas se describen en el Anexo II y en el Resumen de Seguridad en melaya.org/legal/security.

5.2 El Cliente ha revisado el Anexo II y el Resumen de Seguridad, incluidos los controles que allí se describen como en curso o aún no implementados, y acepta que, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, dichas medidas proporcionan un nivel de seguridad adecuado al riesgo para los Datos Personales del Cliente que este decida tratar con los Servicios.

5.3 Melaya podrá actualizar sus medidas con el tiempo, siempre que una actualización no reduzca sustancialmente la seguridad general de los Servicios.

5.4 La seguridad es compartida. El Cliente es responsable de la seguridad de sus propias cuentas, credenciales, dispositivos, computadoras y Servicios Conectados, de configurar los Servicios de manera adecuada, incluidos los permisos, los alcances conectados, las listas de aplicaciones permitidas y los modos de aprobación, y del contenido que decida enviar.

6. Subencargados

6.1 El Cliente otorga a Melaya una autorización general por escrito para contratar Subencargados. Los Subencargados que Melaya utiliza en un momento dado se enumeran en melaya.org/legal/subprocessors, que constituye el Anexo III.

6.2 Antes de que un Subencargado trate Datos Personales del Cliente, Melaya celebrará con él un contrato por escrito que imponga obligaciones de protección de datos no menos protectoras que las de este DPA, en la medida aplicable al servicio que preste el Subencargado. Melaya sigue siendo responsable ante el Cliente por el cumplimiento de las obligaciones de cada Subencargado.

6.3 Melaya dará un aviso de al menos quince (15) días antes de que un nuevo Subencargado comience a tratar Datos Personales del Cliente, actualizando la página de Subencargados y notificando al Cliente por correo electrónico o a través de los Servicios. Cuando Melaya deba sustituir a un Subencargado con urgencia para cumplir con la ley o para abordar un riesgo de seguridad o de continuidad del servicio, podrá dar un aviso más breve y, en ese caso, notificará tan pronto como sea razonablemente posible.

6.4 El Cliente podrá oponerse a un nuevo Subencargado por motivos razonables de protección de datos escribiendo a info@melaya.org dentro del plazo de aviso. Las partes discutirán la objeción de buena fe. Si no logran resolverla en un plazo razonable, el Cliente podrá dar por terminados los Servicios afectados por el nuevo Subencargado mediante aviso por escrito, y Melaya reembolsará las tarifas prepagadas correspondientes al período posterior a la terminación. La terminación y ese reembolso constituyen el único recurso del Cliente frente a una objeción no resuelta.

7. Transferencias Internacionales

7.1 Melaya Labs LLC está establecida en los Estados Unidos, y la infraestructura de producción principal de Melaya, incluidas la base de datos y la caché principales, está alojada en Singapur. Los Datos Personales del Cliente también podrán tratarse en las ubicaciones de los Subencargados enumerados en la página de Subencargados. Melaya transferirá los Datos Personales del Cliente a través de fronteras únicamente conforme a esta Sección 7 y a las Leyes de Protección de Datos.

7.2 En la medida en que la transferencia por el Cliente de los Datos Personales del Cliente a Melaya constituya una transferencia a un tercer país sujeta al RGPD y no esté cubierta por una decisión de adecuación u otro mecanismo de transferencia válido, las CCT quedan incorporadas a este DPA y se aplican de la siguiente manera:

• El Módulo Dos (responsable a encargado) se aplica cuando el Cliente es responsable del tratamiento, y el Módulo Tres (encargado a encargado) se aplica cuando el Cliente es encargado del tratamiento. El Cliente es el exportador de datos y Melaya es el importador de datos.
• Se aplica la Cláusula 7 (cláusula de adhesión).
• Conforme a la Cláusula 9(a), se aplica la Opción 2 (autorización general por escrito), con el plazo de aviso establecido en la Sección 6.3.
• La redacción opcional de la Cláusula 11(a) no es aplicable.
• Conforme a la Cláusula 13, la autoridad de control competente se determina de acuerdo con la Cláusula 13(a).
• Conforme a la Cláusula 17, se aplica la Opción 1 y las CCT se rigen por el derecho de Irlanda. Conforme a la Cláusula 18(b), las controversias se resuelven ante los tribunales de Irlanda.
• Los Anexos I, II y III de las CCT se completan con la información de los Anexos I, II y III de este DPA.
• Las auditorías previstas en la Cláusula 8.9 se realizan de conformidad con la Sección 10, y la certificación de eliminación a que se refiere la Cláusula 8.5 se proporciona a solicitud por escrito del Cliente.

7.3 En la medida en que la transferencia esté sujeta al RGPD del Reino Unido, las CCT se aplican con las modificaciones del Adéndum del Reino Unido, que queda incorporado a este DPA. La Tabla 1 del Adéndum del Reino Unido se completa con los datos de las partes que figuran en el Anexo I, la Tabla 2 con los módulos y opciones seleccionados en la Sección 7.2, y la Tabla 3 con los Anexos I a III de este DPA. Respecto de la Tabla 4, ninguna de las partes podrá dar por terminado el Adéndum del Reino Unido conforme a su Sección 19.

7.4 En la medida en que la transferencia esté sujeta a la LPD, las CCT se aplican con los siguientes cambios: las referencias al RGPD se entienden hechas a la LPD; el Comisionado Federal de Protección de Datos y de Información de Suiza es la autoridad de control competente para las transferencias regidas por la LPD; el término "Estado miembro" no impide que los interesados en Suiza presenten reclamaciones en su lugar de residencia habitual conforme a la Cláusula 18(c); y, cuando la transferencia esté sujeta tanto a la LPD como al RGPD, se aplican el derecho aplicable y el foro seleccionados en la Sección 7.2.

7.5 Cuando Melaya transfiera Datos Personales del Cliente a un Subencargado en un tercer país, Melaya se asegurará de que la transferencia esté cubierta por un mecanismo de transferencia válido, como las CCT, y por las medidas suplementarias descritas en el Anexo II cuando se requieran.

7.6 Si un mecanismo de transferencia en el que se basa esta Sección 7 es invalidado o sustituido, las partes cooperarán de buena fe para implementar una alternativa válida.

8. Asistencia al Cliente

8.1 Teniendo en cuenta la naturaleza del tratamiento, Melaya asistirá al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para responder a las solicitudes de los interesados de ejercer sus derechos. Los Servicios permiten a los Usuarios Autorizados exportar, corregir y eliminar los datos de su propia cuenta, y eliminar conversaciones, documentos, índices de recuperación y conexiones. Si Melaya recibe una solicitud de un interesado relacionada con los Datos Personales del Cliente, la remitirá al Cliente sin demora indebida cuando pueda identificar al Cliente, y no responderá a la solicitud por sí misma, salvo para remitir al interesado al Cliente o según lo instruya el Cliente.

8.2 Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Melaya, Melaya prestará al Cliente asistencia razonable con las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control que las Leyes de Protección de Datos exijan al Cliente en relación con los Servicios, principalmente poniendo a su disposición este DPA, el Resumen de Seguridad y la información descrita en la Sección 10.

8.3 Cuando las Leyes de Protección de Datos lo permitan, Melaya podrá cobrar una tarifa razonable por la asistencia prestada conforme a esta Sección 8 que exceda de las funciones de autoservicio de los Servicios y de la documentación que Melaya pone a disposición con carácter general.

9. Violación de la Seguridad de los Datos Personales

9.1 Melaya notificará al Cliente una Violación de la Seguridad de los Datos Personales sin demora indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de ella. Melaya enviará la notificación a la dirección de correo electrónico asociada con la cuenta del Cliente y a cualquier contacto de seguridad que el Cliente haya proporcionado a Melaya por escrito.

9.2 La notificación describirá, en la medida en que se conozca en ese momento, la naturaleza de la Violación de la Seguridad de los Datos Personales, incluidas las categorías y el número aproximado de interesados y registros afectados; sus probables consecuencias; las medidas adoptadas o propuestas para abordarla y mitigar sus posibles efectos adversos; y un punto de contacto para más información. Cuando esta información no esté disponible en su totalidad al mismo tiempo, Melaya la proporcionará por fases sin más demora indebida.

9.3 Melaya tomará medidas razonables para contener, investigar y remediar la Violación de la Seguridad de los Datos Personales, y prestará al Cliente la asistencia razonable que necesite para cumplir sus propias obligaciones de notificar a las autoridades de control y a los interesados. Melaya no notificará a los interesados ni a las autoridades de control del Cliente una Violación de la Seguridad de los Datos Personales en nombre del Cliente, salvo que el Cliente se lo instruya o la ley lo exija.

9.4 La notificación de Melaya sobre una Violación de la Seguridad de los Datos Personales, o su respuesta a ella, no constituye un reconocimiento de culpa ni de responsabilidad.

10. Auditorías y Demostración del Cumplimiento

10.1 Melaya pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este DPA: este DPA y el Resumen de Seguridad; previa solicitud por escrito a info@melaya.org, la matriz de controles vigente de Melaya y la lista de remediaciones en curso; y las respuestas por escrito de Melaya a un cuestionario razonable de seguridad y privacidad, no más de una vez en cualquier período de doce (12) meses. Melaya actualmente no cuenta con un informe SOC 2, un certificado ISO/IEC 27001, ni ninguna certificación equivalente de un tercero, e informará al Cliente si esto cambia. La información no pública se proporciona sujeta a obligaciones de confidencialidad.

10.2 Si esa información no es suficiente para demostrar el cumplimiento, cuando una autoridad de control lo exija, o tras una Violación de la Seguridad de los Datos Personales, el Cliente podrá auditar el cumplimiento de este DPA por Melaya, por sí mismo o mediante un auditor independiente sujeto a obligaciones de confidencialidad y que no sea competidor de Melaya. El Cliente deberá dar un aviso por escrito de al menos treinta (30) días con el alcance propuesto, y las partes acordarán de antemano el alcance, el momento y la duración. Las auditorías se realizan no más de una vez en cualquier período de doce (12) meses, salvo que una autoridad de control exija otra cosa o tras una Violación de la Seguridad de los Datos Personales, en horario laboral normal, y de un modo que no perturbe de manera irrazonable las operaciones de Melaya.

10.3 Melaya ofrecerá primero realizar la auditoría de forma remota, mediante revisión de documentos y entrevistas. Una auditoría presencial solo tendrá lugar cuando una auditoría remota no pueda razonablemente lograr su propósito. Una auditoría no se extiende a los datos de otros clientes de Melaya, a información protegida por secreto profesional, ni a las instalaciones de los Subencargados, respecto de las cuales Melaya pondrá a disposición la información pertinente que reciba de esos Subencargados.

10.4 El Cliente asume sus propios costos de una auditoría y reembolsa a Melaya los costos razonables de apoyar una auditoría presencial, salvo que la auditoría revele un incumplimiento sustancial de este DPA por parte de Melaya. El Cliente entregará a Melaya una copia del informe de auditoría, que constituye información confidencial de Melaya.

11. Devolución y Eliminación de los Datos Personales del Cliente

11.1 Durante la vigencia de los Términos, el Cliente puede exportar y eliminar los Datos Personales del Cliente utilizando los Servicios, incluidas las funciones de exportación de datos y eliminación de cuenta en la configuración de la cuenta, y la eliminación de conversaciones, documentos, índices de recuperación y conexiones.

11.2 Cuando se cierre la cuenta del Cliente o finalicen los Términos, Melaya eliminará los Datos Personales del Cliente de sus sistemas activos sin demora indebida y, en todo caso, dentro de los treinta (30) días, salvo que el derecho al que esté sujeta Melaya exija conservar los datos. El Cliente debe exportar los Datos Personales del Cliente que desee conservar antes de cerrar su cuenta. Mediante solicitud por escrito del Cliente formulada antes del cierre, Melaya prestará asistencia razonable para devolver los Datos Personales del Cliente en un formato de uso común y legible por máquina.

11.3 Las copias de los Datos Personales del Cliente en las copias de seguridad cifradas de Melaya se eliminan conforme esas copias de seguridad expiran, según el calendario de retención de copias de seguridad descrito en el Resumen de Seguridad. Hasta entonces, permanecen protegidas conforme a este DPA y no se utilizan para ningún otro fin.

11.4 Durante la vigencia, los registros de ejecución, trazas y telemetría se eliminan conforme a los períodos de retención dependientes del plan descritos en la Política de Privacidad. Melaya no puede recuperar los datos que el Cliente haya indicado a los Servicios enviar a un Servicio Conectado. A solicitud por escrito del Cliente, Melaya confirmará la eliminación por escrito.

12. Responsabilidad

La responsabilidad de cada parte derivada de este DPA o relacionada con él, incluida la que surja conforme a las CCT y al Adéndum del Reino Unido en la medida en que lo permitan, está sujeta a las exclusiones y limitaciones de responsabilidad establecidas en los Términos, y toda referencia en los Términos a la responsabilidad conforme a los Términos incluye la responsabilidad conforme a este DPA. Nada de lo dispuesto en este DPA limita los derechos de los interesados conforme a las CCT, ni ninguna responsabilidad que no pueda limitarse conforme a las Leyes de Protección de Datos.

13. Orden de Prelación

Si los documentos que integran el acuerdo entre el Cliente y Melaya entran en conflicto, se aplica el siguiente orden en la medida del conflicto: en primer lugar, las CCT, el Adéndum del Reino Unido y las disposiciones suizas de la Sección 7, cuando resulten aplicables; en segundo lugar, este DPA; en tercer lugar, los Términos. Un acuerdo de tratamiento de datos o un acuerdo empresarial firmado por ambas partes que sustituya expresamente a este DPA prevalece sobre este.

14. Modificaciones de este DPA

Melaya podrá actualizar este DPA para reflejar cambios en las Leyes de Protección de Datos, orientaciones de las autoridades de control, mecanismos de transferencia nuevos o sustituidos, o cambios en los Servicios. Melaya notificará los cambios sustanciales de la misma manera que para los cambios sustanciales a los Términos. Una actualización no reducirá sustancialmente la protección de los Datos Personales del Cliente conforme a este DPA, salvo que la ley lo exija. La fecha de "Última actualización" en la parte superior de esta página indica la versión vigente. Una copia firmada de este DPA solo puede modificarse mediante acuerdo escrito de ambas partes.

15. Derecho Aplicable y Jurisdicción

Este DPA se rige por el derecho que rige los Términos, actualmente las leyes del Estado de Delaware, Estados Unidos, y las controversias derivadas de este o relacionadas con él se resuelven según lo establecido en los Términos, salvo que las CCT, el Adéndum del Reino Unido o las Leyes de Protección de Datos exijan otro derecho aplicable u otro foro.

16. Fecha de Entrada en Vigor, Firma y Copias Contrafirmadas

Este DPA entra en vigor en la fecha que sea posterior entre la fecha en que el Cliente acepte los Términos y la fecha en que este DPA se publicó por primera vez. No se requiere firma: la aceptación de los Términos por el Cliente constituye la aceptación de este DPA y de las CCT y el Adéndum del Reino Unido incorporados a él. El Cliente podrá solicitar una copia de este DPA contrafirmada por Melaya escribiendo a info@melaya.org con la razón social, el domicilio y los datos de contacto del Cliente.

Anexo I. Detalles del Tratamiento

• Exportador de datos: el Cliente, según se identifique en su cuenta de Melaya o formulario de pedido. Contacto: la dirección de correo electrónico asociada con la cuenta del Cliente. Actividades: uso de los Servicios. Función: responsable del tratamiento, o encargado del tratamiento en nombre de su propio responsable del tratamiento. Firma y fecha: aceptación de los Términos.
• Importador de datos: Melaya Labs LLC, Estados Unidos. Contacto: Equipo de Privacidad, info@melaya.org. Actividades: prestación de los Servicios. Función: encargado del tratamiento, o subencargado del tratamiento. Firma y fecha: publicación de este DPA, y contrafirma a solicitud.
• Categorías de interesados: los Usuarios Autorizados del Cliente, incluidos empleados y contratistas; los clientes, prospectos, contactos, proveedores y demás personas físicas del Cliente cuyos datos personales consten en el Contenido del Usuario o en los registros, mensajes, archivos y páginas que los agentes del Cliente lean de los Servicios Conectados; las personas físicas que aparezcan en las pantallas, páginas o ventanas de aplicaciones que los agentes del Cliente observen; y las personas físicas que interactúen con los agentes que el Cliente despliegue.
• Categorías de datos personales: datos de identificación y contacto, como nombres, direcciones de correo electrónico, números de teléfono, nombres de usuario, cargos y nombres de empresas; el contenido de prompts, conversaciones, resultados de agentes, documentos cargados, índices de recuperación, correos electrónicos, mensajes de chat, entradas de calendario, registros de CRM y ERP, y archivos; datos leídos de los Servicios Conectados o escritos en ellos; fotogramas de pantalla, capturas de pantalla, árboles de accesibilidad, contenido de páginas, títulos de ventanas, texto reconocido y registros de acciones generados por Device Control, Browser Control y Computer Control; y datos técnicos, como direcciones IP, identificadores de dispositivo y de sesión, registros y trazas de ejecución. Los datos exactos dependen de la configuración y el uso de los Servicios por el Cliente.
• Categorías especiales de datos personales: ninguna prevista. El Cliente no enviará categorías especiales de datos personales, ni datos personales relativos a condenas e infracciones penales, salvo que ello sea necesario, lícito y cuente con las salvaguardias adecuadas. Si el Cliente lo hace, se aplican las medidas del Anexo II.
• Frecuencia de la transferencia: continua, mientras el Cliente utilice los Servicios.
• Naturaleza del tratamiento: alojamiento, almacenamiento, organización, recuperación, indexación y generación de embeddings, análisis y transformación mediante modelos de lenguaje, transmisión hacia y desde los Servicios Conectados, ejecución de acciones de agentes, visualización, exportación y eliminación, según lo indique el Cliente a través de los Servicios.
• Finalidad del tratamiento: prestar, dar soporte y proteger los Servicios conforme a los Términos, incluida la ejecución de los agentes, pipelines, conversaciones con el Assistant, conectores, disparadores y sesiones de Device Control, Browser Control y Computer Control que configure el Cliente.
• Duración y conservación: durante la vigencia de los Términos y hasta la eliminación conforme a la Sección 11. Las conversaciones, documentos e índices de recuperación se conservan hasta que el Cliente los elimine o cierre su cuenta. Los registros de ejecución, trazas y telemetría siguen los períodos de retención dependientes del plan, y los datos de integración siguen los períodos específicos de cada integración, descritos en la Política de Privacidad. Las copias de seguridad expiran conforme al calendario descrito en el Resumen de Seguridad.
• Transferencias a Subencargados: según se describe en el Anexo III, para la materia, naturaleza y duración establecidas en este Anexo I.
• Autoridad de control competente: determinada de conformidad con la Cláusula 13 de las CCT o, según corresponda, el Information Commissioner del Reino Unido o el Comisionado Federal de Protección de Datos y de Información de Suiza.

Anexo II. Medidas Técnicas y Organizativas

Melaya aplica las siguientes medidas a los Servicios. El Resumen de Seguridad en melaya.org/legal/security las describe con más detalle, incluidos los controles que están en curso o aún no implementados.

• Cifrado en tránsito: TLS 1.2 o superior para el tráfico entre los clientes y los Servicios, terminado en Cloudflare, con HSTS y una política de seguridad de contenido estricta. Las llamadas internas de servicio a servicio se ejecutan a través de enlaces de loopback o de red privada.
• Cifrado en reposo: los valores sensibles, incluidas las credenciales de API de exchanges, las credenciales de conectores y los tokens de OAuth, y los secretos de MFA y los códigos de recuperación, se cifran con cifrado de sobre AES-256-GCM en el proceso del servidor antes de almacenarse, con claves mantenidas por separado de las credenciales de la base de datos y del vault, y rotadas sin tiempo de inactividad. Las copias de seguridad están cifradas. El cifrado de disco completo de los volúmenes de producción aún no está habilitado y figura en la hoja de ruta de seguridad.
• Aislamiento de inquilinos: cada solicitud se acota al usuario autenticado en la capa de aplicación, la seguridad a nivel de fila de PostgreSQL se aplica como una segunda capa bajo un rol de base de datos que no puede eludirla, y los índices de recuperación se devuelven únicamente al pipeline que es su propietario.
• Control de acceso: contraseñas con hash mediante bcrypt; autenticación multifactor TOTP disponible para todos los usuarios y obligatoria para agregar credenciales de exchanges o crear claves de API de la plataforma; tokens de sesión firmados con claves de firma rotativas; autorización basada en roles y en planes aplicada en el servidor; límites de frecuencia en los endpoints de autenticación y de API; tokens de runner y de teléfono almacenados únicamente como hashes y revocables.
• Acceso del personal: el acceso a los sistemas de producción se otorga por ingeniero mediante un proceso de aprobación de dos personas, limitado a lo que el rol requiere, revisado con una periodicidad trimestral documentada, y retirado al finalizar la relación laboral, incluida la revocación de claves y sesiones.
• Registro y monitoreo: registros estructurados de aplicación, host y borde enviados fuera del host de producción en tiempo real a un almacén de registros en la misma región, y un registro de auditoría de seguridad de solo adición, encadenado mediante hash, que almacena las direcciones IP únicamente como resúmenes HMAC con clave y se verifica diariamente.
• Desarrollo seguro y gestión de vulnerabilidades: revisión por pares antes de cada fusión de código, verificación estática de tipos, escaneo de secretos en los hooks de pre-commit y en CI, escaneo de vulnerabilidades de dependencias y contenedores en cada build, acciones de CI fijadas, una ruta de despliegue restringida, y actualizaciones automáticas de seguridad del sistema operativo. Melaya aún no se ha sometido a una prueba de penetración externa.
• Respuesta a incidentes: un procedimiento escrito de respuesta a incidentes con niveles de gravedad, roles definidos, medidas de contención que incluyen la rotación de claves, una matriz de notificación de 72 horas, y revisiones posteriores al incidente.
• Copias de seguridad y continuidad: copias de seguridad cifradas nocturnas de las bases de datos de producción y de los documentos cargados, conservadas conforme a un calendario de 7 instantáneas diarias, 4 semanales y 6 mensuales, con una verificación de integridad semanal y una restauración de prueba, y un plan escrito de continuidad del negocio. Las copias de seguridad se almacenan actualmente en la misma región que la producción, y los Servicios operan desde una única región principal sin conmutación por error automatizada.
• Minimización y eliminación de datos: barridos automatizados de retención de datos de ejecución según el plan; exportación y eliminación de autoservicio; borrado mediante tombstones que preservan la integridad del registro de auditoría; Computer Control no lee ni escribe en campos seguros, y cubre con una superposición las ventanas de las aplicaciones no permitidas; la extensión de navegador omite los valores de los campos de contraseña en las capturas de página.
• Salvaguardias de agentes: listas de aplicaciones permitidas y niveles de permisos, solicitudes de aprobación para las acciones de consecuencia detectadas en el modo Safe, controles de detención y terminación forzosa, y verificaciones de políticas del lado del servidor sobre los comandos de dispositivo y de computadora.
• Gestión de Subencargados: contratos escritos con obligaciones de protección de datos, una lista publicada de Subencargados, y aviso previo de los cambios.
• Certificaciones: Melaya diseña sus controles teniendo en cuenta los SOC 2 Trust Services Criteria y la norma ISO/IEC 27001, pero actualmente no cuenta con ninguna certificación o atestación de un tercero.

Anexo III. Subencargados

Los Subencargados que Melaya contrata, con su ubicación, finalidad y salvaguardia de transferencia, se enumeran en melaya.org/legal/subprocessors. Esa lista, según se actualice conforme a la Sección 6, constituye este Anexo III. A la fecha de este DPA, el alojamiento principal de cómputo, base de datos y caché de Melaya es proporcionado por Alibaba Cloud en Singapur.

Los Servicios Conectados que elija el Cliente, incluidos los proveedores de modelos que el Cliente seleccione para sus agentes, se contratan por indicación del Cliente conforme a la Sección 3 y no son Subencargados, salvo lo indicado en la Sección 3.5.

Contacto

Las consultas sobre este DPA, las solicitudes de una copia contrafirmada, y los avisos conforme a este DPA deben enviarse a: