Anexo al artículo 28 del RGPD — Acuerdo entre el Cliente (Responsable) y Form-it (Encargado)
Este documento es un anexo a los Términos de Servicio de Form-it y regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), el tratamiento de datos personales que Ático Estudio Gráfico, S.L. (CIF B13530050, en adelante el "Encargado" o "Form-it") realiza por cuenta del Cliente que contrata una cuenta en la plataforma (en adelante el "Responsable"), en su condición de responsable del tratamiento de los datos personales de los Participantes que responden a los formularios del Cliente.
El Responsable acepta expresamente este anexo, junto con los Términos de Servicio y la Política de Privacidad, mediante la casilla de aceptación que debe marcar al dar de alta su cuenta en Form-it, antes de poder acceder al panel.
Este acuerdo estará vigente mientras el Responsable mantenga su cuenta activa en Form-it, y durante el plazo posterior necesario para el cumplimiento de las obligaciones de conservación o eliminación de datos previstas en la sección 9.
El Encargado tratará los datos personales de los Participantes exclusivamente para prestar el Servicio contratado por el Responsable: recibir, procesar (incluida la interpretación conversacional mediante modelos de IA en los modos Chat y Voz), almacenar y poner a disposición del Responsable las respuestas a sus formularios. El tratamiento se prolonga mientras el Responsable conserve dichas respuestas en su cuenta.
En el modo Voz, la voz del Participante se transmite en tiempo real, directamente desde su navegador, al subencargado de IA de voz mediante credenciales temporales de un solo uso emitidas por el Encargado. El Encargado no recibe ni almacena el audio. Sí conserva, por cuenta del Responsable, la transcripción automática de la conversación (texto) junto con las respuestas a los campos del formulario, previa validación y confirmación con el Participante; la transcripción se pone a disposición del Responsable en el detalle de cada respuesta y se elimina con ella.
Los interesados son los Participantes que responden a los formularios del Responsable. El tipo de datos personales tratados depende enteramente de los campos que el Responsable configure en cada formulario (a título de ejemplo: nombre, email, teléfono, texto libre, archivos o imágenes adjuntas). El Responsable es el único que decide qué datos solicita y es responsable de no recabar categorías especiales de datos (art. 9 RGPD) sin la base legal reforzada que exige el Reglamento.
Cuando el Responsable activa el modo Voz en un formulario, se tratan además, en tiempo real, la voz del Participante (audio) y el texto transcrito de la conversación, con la única finalidad de mantener la conversación y rellenar el formulario. El Encargado no utiliza la voz para identificar a la persona ni para elaborar perfiles. El Responsable es quien decide ofrecer este modo y debe informar a los Participantes conforme a su propia política de privacidad; la pantalla del modo Voz les informa además de que hablan con un sistema de IA y de que su voz se procesa con un proveedor de terceros.
Además de los datos que el Responsable solicita en sus campos, el Encargado registra datos técnicos de cada respuesta: el país aproximado, el navegador y el sistema operativo de quien responde, y las etiquetas de campaña (UTM) del enlace por el que accedió. Si el Responsable utiliza campos de ubicación en mapa, firma, archivo o imagen, se tratan además las coordenadas y la dirección elegidas, la imagen de la firma y los archivos adjuntos. Si el Responsable utiliza campos de reserva, se trata además la opción elegida y la fecha y hora reservadas, que se conservan junto a la respuesta y se eliminan con ella.
El Encargado se compromete a:
El Responsable autoriza con carácter general al Encargado a subcontratar los siguientes subencargados, necesarios para prestar el Servicio. El Encargado informará al Responsable de cualquier cambio en esta lista con antelación razonable, dándole la oportunidad de oponerse:
Algunos de los subencargados listados en la sección 6 están establecidos fuera del Espacio Económico Europeo. Cuando ello implique una transferencia internacional de datos, el Encargado se compromete a que dicha transferencia se ampare en un mecanismo válido conforme al Capítulo V del RGPD (como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, o una decisión de adecuación vigente para el país de destino).
El Encargado aplica, entre otras, las siguientes medidas: cifrado de las comunicaciones (HTTPS/TLS), cifrado de las claves de API que el Responsable configure para su propio proveedor de IA, control de acceso basado en autenticación individual, y políticas de seguridad a nivel de fila (RLS) en la base de datos que impiden que un Cliente acceda a los datos de otro. En el modo Voz, la conexión con el proveedor de voz se hace con credenciales temporales de un solo uso y las herramientas que guardan datos exigen una sesión firmada y de corta duración; las claves de la plataforma no salen del servidor.
Los archivos adjuntos y las imágenes de firma se almacenan con una dirección pública de nombre aleatorio no deducible: quien conoce la dirección exacta puede abrirlos. Se eliminan junto con la respuesta a la que pertenecen.
Al darse de baja el Responsable, o a su solicitud expresa, el Encargado eliminará los datos personales tratados por su cuenta, salvo que una norma exija su conservación por un plazo determinado, en cuyo caso el Encargado los conservará bloqueados durante dicho plazo y los eliminará a su término.
El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones, y permitirá auditorías, incluidas inspecciones, solicitadas por el Responsable con una antelación razonable, dentro de lo razonable para una plataforma de este tamaño.