Anexo de tratamiento de datos

Este anexo forma parte de las condiciones del servicio entre usted y Atheron Network Inc.. Se aplica siempre que tratamos información personal por cuenta de usted a través de ATON Desk.

Respecto de esa información, su empresa tiene el control (es el responsable del tratamiento), y nosotros actuamos por cuenta de usted (somos el encargado del tratamiento, o proveedor de servicios).

• la Ley de Protección de la Información Personal y los Documentos Electrónicos (PIPEDA), la ley federal de privacidad de Canadá;
• la Ley sobre la protección de la información personal en el sector privado de Quebec, modificada por la Ley 25;
• las leyes de privacidad para el sector privado de Columbia Británica y Alberta, donde se apliquen;
• el Reglamento General de Protección de Datos (RGPD) de la UE y del Reino Unido, cuando su empresa esté sujeta a él.

ATON Desk no está diseñado para historiales médicos ni números de tarjetas de pago. No se los pida a sus clientes en un chat.

Solo tratamos la información siguiendo sus instrucciones: estas condiciones, los ajustes que elige en ATON Desk y las solicitudes que nos envía. Si la ley nos obliga a hacer otra cosa, se lo decimos antes, salvo que la ley lo prohíba.

Usted es responsable de tener una base legal para la información que recoge a través de ATON Desk, y de explicar a sus clientes cómo la usa, por ejemplo en su propio aviso de privacidad.

Solo pueden acceder a la información de su espacio de trabajo las personas que lo necesitan y que están obligadas a mantenerla confidencial. Nuestro personal solo mira una conversación cuando usted pide ayuda con ella, o para mantener el servicio seguro y en funcionamiento.

Protegemos la información con medidas adecuadas a su sensibilidad, entre ellas:

• cifrado siempre que la información viaja entre los navegadores, nuestros servidores y nuestros proveedores;
• cada espacio de trabajo separado de todos los demás en la propia base de datos, no solo en nuestro código;
• la aplicación accede a la base de datos con un usuario que solo puede llamar a funciones verificadas;
• los tokens de acceso de sus canales conectados se cifran antes de guardarse, y las claves de API solo se guardan como un código de un solo sentido;
• límites de frecuencia y comprobaciones contra avalanchas de mensajes y tráfico automatizado;
• copias de seguridad periódicas, conservadas durante un tiempo limitado.

Usted nos permite usar los proveedores de la lista de subencargados. Obligamos a cada uno a proteger la información al menos tan bien como este anexo, y seguimos respondiendo ante usted por su trabajo.

Antes de añadir o sustituir uno, actualizamos la lista y se lo comunicamos a los propietarios de su espacio de trabajo con al menos 30 días de antelación. Si se opone por un motivo justificado, intentaremos encontrar una solución; si no podemos, puede cancelar y recuperar la parte no usada de lo que pagó por adelantado.

La información almacenada de su espacio de trabajo se guarda en DigitalOcean, en Toronto, Canadá. Algunos proveedores la tratan fuera de Canadá, sobre todo en Estados Unidos, como muestra la lista de subencargados: las respuestas de la IA siempre se redactan fuera de Canadá.

Cuando se aplica el RGPD, las transferencias a Canadá se basan en la decisión de la Comisión Europea de que Canadá protege adecuadamente la información personal de las empresas sujetas a la PIPEDA, y las transferencias posteriores se basan en las garantías que ofrece cada proveedor, como las cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework).

Si está en Quebec, le damos lo que necesita para la evaluación que la ley de Quebec le exige antes de que la información salga de la provincia.

Cuando una persona pide a su empresa ver, corregir, trasladar o borrar su información, le ayudamos a responder. Una solicitud para borrar un chat hecha desde el propio chat le espera en la página de Privacidad de su consola, y le ayudamos con todo lo que la consola no pueda hacer. Si una solicitud nos llega directamente, se la pasamos a usted y no la respondemos nosotros, salvo que usted nos lo pida.

También le damos la información que razonablemente necesite para las evaluaciones de privacidad y para responder a una autoridad de control.

Si sabemos que la información que tratamos por cuenta de usted se ha perdido, o ha llegado a alguien que no debería tenerla, se lo comunicamos a los propietarios de su espacio de trabajo sin demora indebida, y en un plazo de 72 horas desde que lo confirmemos. Le decimos qué ocurrió, qué información está afectada, qué hemos hecho y con quién hablar, y le mantenemos al día.

Llevamos un registro de cada incidente de este tipo, y le ayudamos con las notificaciones que la ley pueda exigirle.

Cuando cierra su espacio de trabajo, borramos su información en un plazo de 30 días desde que lo pida, después de enviarle una copia si la quiere. Las copias en las copias de seguridad se sustituyen a medida que estas caducan. Solo conservamos lo que exige la ley, como los registros de facturación.

Respondemos a sus preguntas razonables por escrito sobre cómo cumplimos este anexo, una vez al año o después de un incidente. Si la ley exige una auditoría, acordamos antes con usted su alcance, sus plazos y su coste, y debe proteger la información de otros clientes y nuestra seguridad.

• vender la información de su espacio de trabajo, ni compartirla para publicidad;
• usarla para entrenar modelos de IA, ni nuestros ni de nadie;
• usarla para ningún fin propio más allá de hacer funcionar, proteger y facturar ATON Desk.

Podemos usar recuentos y mediciones de cómo se usa ATON Desk, que no identifican a ninguna persona ni a ninguno de sus clientes, para hacer funcionar y mejorar el servicio.

Si este anexo y las condiciones discrepan sobre información personal, prevalece este anexo. Se le aplican los límites de responsabilidad de las condiciones, en la medida en que la ley lo permita. Las versiones anteriores siguen pudiéndose leer en esta página.

Preguntas: privacy@aton-network.org.