Cuándo se aplica
Este acuerdo se aplica cuando tratamos datos personales en tu nombre, siendo tú el responsable del tratamiento: en la práctica, el audio que tus propios usuarios envían a través de la API. Forma parte de los Términos del servicio, junto con su sección sobre la API, y surte efecto automáticamente; no tienes que firmarlo para que nos obligue. Hay disponible un ejemplar firmado a petición en legal@euphonaai.com si tu proceso de cumplimiento necesita tener uno archivado.
No se aplica al audio que subes al Studio para ti. Ahí nosotros somos el responsable del tratamiento, no tu encargado, y lo que rige es la Política de privacidad. Darte un acuerdo de encargado del tratamiento para esa relación la describiría de forma errónea.
Objeto, duración, naturaleza y finalidad
- Objeto: el tratamiento de las grabaciones de audio y los metadatos asociados que envías, con el fin de devolver análisis y resultados procesados.
- Duración: mientras tu cuenta esté abierta, más los plazos de conservación que se indican más abajo.
- Naturaleza y finalidad: análisis y mejora automatizados del audio. Decodificación, medición y el procesamiento que solicitaste. Sin elaboración de perfiles, sin decisiones automatizadas sobre personas, sin uso publicitario.
- Tipos de datos personales: grabaciones de audio, que pueden contener la voz de una persona y ser, por tanto, datos personales en sí mismas; identificadores que envías con una solicitud; y metadatos técnicos como tiempos e identificadores de solicitud.
- Categorías de interesados: tus usuarios y cualquier persona que se oiga en las grabaciones que envían.
Una voz grabada puede ser un dato biométrico en algunas jurisdicciones y con algunos usos. No realizamos identificación por voz, reconocimiento del hablante ni ningún cotejo biométrico, y el motor no tiene capacidad para hacerlo: que es la razón por la que podemos decir que las normas sobre categorías especiales de datos no entran en juego, en lugar de simplemente afirmarlo.
Solo actuamos siguiendo tus instrucciones
Tratamos los datos únicamente siguiendo tus instrucciones documentadas. La solicitud a la API es la instrucción; no hay ningún otro canal por el que decidamos qué hacer con el audio de tus usuarios.
Nunca se usa para entrenar modelos. Ni los nuestros ni los de nadie más, ni de forma agregada o derivada. No es un ajuste que tengas que encontrar y desactivar, y no hay ningún consentimiento que pudiéramos obtener de ti que lo cambiara para tus usuarios: su consentimiento no te corresponde darlo a ti.
Si alguna vez consideramos que una instrucción tuya infringiría la normativa de protección de datos, te lo diremos en lugar de cumplirla o rechazarla en silencio.
Confidencialidad
Todas las personas con cualquier tipo de acceso están sujetas a una obligación de confidencialidad vinculante. Y, lo que es más útil: nuestro personal no puede escuchar el audio de los clientes. No hay ningún control en ninguna herramienta interna que lo reproduzca ni ninguna vía que genere un enlace a él, así que aquí la confidencialidad se garantiza por la ausencia de una capacidad y no por una promesa sobre un comportamiento.
Cada lectura interna de datos de clientes queda anotada en un registro de auditoría inalterable, guardado en una base de datos independiente, y la consola de operaciones se niega a mostrar nada si antes no se puede escribir esa anotación.
Medidas de seguridad
- Cifrado en tránsito, y cifrado de las copias de seguridad en reposo.
- Audio accesible solo mediante URL firmadas de corta duración limitadas a un único objeto. Nunca se sirve desde la API, nunca queda detrás de una cookie y no tiene ninguna dirección pública.
- Prefijos de almacenamiento por espacio de trabajo, de modo que los archivos de un cliente quedan separados de los de otro.
- Archivos multimedia que no son de confianza, decodificados en un entorno aislado con sus propios espacios de nombres de usuario, de red y de procesos, sin capabilities, con un límite de memoria y un plazo máximo de tiempo real.
- Auditoría inalterable de los accesos internos, en una base de datos independiente con permisos que solo permiten insertar.
- Copias de seguridad cifradas con un ciclo fijo, con un simulacro de restauración semanal que restaura de verdad.
El estado actual de todo esto está en nuestra página de seguridad, que se mantiene con una regla: nada que no operemos.
Subencargados del tratamiento
Otorgas una autorización general para los subencargados del tratamiento que tratan para nosotros los datos de tus usuarios: los proveedores de la infraestructura que aloja el servicio, lo almacena y hace sus copias de seguridad, y un proveedor de equipos con GPU en el Espacio Económico Europeo en los que funcionan nuestros modelos de IA. Los proveedores de correo electrónico, de pagos y de analítica que se describen en nuestra Política de privacidad no están entre ellos: sirven a nuestra relación contigo, el cliente, y no reciben ninguno de los datos de tus usuarios. El audio de tus usuarios se almacena en hardware que operamos nosotros. Ese proveedor recibe el audio de una tarea solo mientras uno de nuestros modelos de IA trabaja con él: viaja cifrado en ambos sentidos, solo se descifra en la memoria del equipo alquilado, nuestro software nunca lo escribe en el disco de ese equipo, y el equipo borra su copia cuando termina ese trabajo. Una lista actualizada de nuestros subencargados del tratamiento, con sus nombres y ubicaciones, está disponible previa solicitud.
Avisamos con treinta días de antelación antes de añadir uno, y puedes oponerte. Si lo haces y no podemos atenderte, puedes poner fin a este acuerdo y a tu uso de la API que cubre, y te reembolsamos el saldo no utilizado. Cada subencargado del tratamiento se contrata en condiciones de protección de datos que no son más débiles que este acuerdo, y seguimos siendo responsables ante ti de lo que hagan.
Ayudarte a cumplir tus propias obligaciones
Tus usuarios ejercerán sus derechos frente a ti, no frente a nosotros, y te ayudaremos a responderles. La supresión y la exportación están disponibles a través de la API, así que la mayoría de las solicitudes son algo que puedes atender directamente sin esperarnos: lo que es más rápido para tu usuario y es precisamente el sentido de haberlo construido así.
Cuando una solicitud nos necesite, escribe a privacy@euphonaai.com. También te daremos lo que razonablemente necesites para una evaluación de impacto relativa a la protección de datos o una consulta a tu autoridad de control, sin coste.
Si hay una violación de la seguridad
Una vez que tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a tus datos, te la notificamos sin dilación indebida y, en cualquier caso, a tiempo para que puedas cumplir tu propia obligación de setenta y dos horas. La notificación describe qué ocurrió, qué datos y aproximadamente cuántas personas están afectados, qué hemos hecho y qué te recomendamos hacer.
Enviaremos una notificación inicial con información incompleta en lugar de una completa con retraso. Un informe de violación de la seguridad que espera a tener certeza es un informe que llega después de tu plazo.
Devolución y supresión
Tras la terminación, o en cualquier momento a petición tuya, suprimimos o devolvemos los datos, a tu elección. La supresión es una supresión real, no un marcado. Quedan copias en las copias de seguridad cifradas durante un máximo de 31 días, y una restauración nunca devuelve material suprimido a una cuenta activa.
Después no conservamos nada salvo lo que la ley nos obligue a conservar, y te diremos qué es si lo preguntas.
Auditoría
Puedes auditar nuestro cumplimiento de este acuerdo una vez al año o después de una violación de la seguridad que te afecte, con un preaviso razonable. En primera instancia responderemos con documentación y un cuestionario, porque eso satisface la mayoría de las auditorías sin que ninguno de los dos dedique una semana a ello. Si eso es realmente insuficiente para tu autoridad de control, aceptaremos una auditoría presencial o remota, y no usaremos el calendario para hacerla impracticable.
No hay ninguna certificación de terceros que entregarte. No hemos completado SOC 2 ni ISO 27001 y no afirmamos tener ninguna de las dos; cuando un contrato con un cliente exija una, se presupuestará entonces.
Responsabilidad en virtud de este acuerdo
Este acuerdo forma parte de los Términos del servicio, y el límite de responsabilidad que allí figura se aplica a todo lo que contiene. Es un único límite para ambos documentos, no un segundo límite que se suma al primero: de lo contrario, el mismo incidente podría reclamarse dos veces, y eso no es lo que ninguno de los dos está aceptando.
Tres cosas que ese límite no toca, porque no puede ni debe: lo que el RGPD otorga a un interesado directamente frente a un encargado del tratamiento; lo que las Cláusulas Contractuales Tipo otorgan a las personas cuyos datos son; y cualquier cosa que la ley diga que no puede limitarse en absoluto. Un acuerdo de encargado del tratamiento que pretendiera limitar eso sería inaplicable en la parte que importaba, y te diría algo sobre el resto.
Transferencias internacionales
La empresa que opera Euphona está constituida en Hong Kong y administra el servicio desde allí; sus servidores, y los equipos con GPU que alquila, están en el Espacio Económico Europeo, así que los datos que envías se tratan en el Espacio Económico Europeo y se administran desde Hong Kong.
Hong Kong no cuenta con una decisión de adecuación europea ni del Reino Unido. Por tanto, las transferencias de datos personales del EEE a nosotros se basan en las Cláusulas Contractuales Tipo de la Comisión Europea, que se incorporan a este acuerdo y que firmaremos por separado si lo solicitas. Las transferencias de datos personales del Reino Unido se basan en los instrumentos propios del Reino Unido: el UK Addendum (Anexo del Reino Unido) a esas Cláusulas, incorporado de la misma manera, o el UK International Data Transfer Agreement (Acuerdo Internacional de Transferencia de Datos del Reino Unido) si lo prefieres, cualquiera de los cuales firmaremos si lo solicitas.
Conforme a la Personal Data (Privacy) Ordinance de Hong Kong (la PDPO), respecto de los datos que nos envías somos un procesador de datos (data processor) tal como lo define la sección 2(12): los tratamos en tu nombre y no para ningún fin propio. La Ordinance impone sus seis principios de protección de datos (Data Protection Principles) a ti como usuario de datos (data user); aun así, tratamos los datos de tus usuarios conforme a esos principios.
Una cosa que un evaluador debería saber en lugar de descubrir. La sección 33 de la PDPO, la restricción de Hong Kong a las transferencias transfronterizas, figura en la legislación desde 1996 y nunca ha entrado en vigor. Por tanto, Hong Kong no tiene ningún control legal de exportación operativo, y la protección que tus datos reciben de nosotros no se basa en uno.
Se basa, en cambio, en cosas que puedes comprobar: los datos se almacenan en nuestras máquinas en el Espacio Económico Europeo y se tratan allí o en los equipos con GPU que alquilamos allí, no se trasladan a Hong Kong; el acceso desde Hong Kong es un acceso administrativo remoto de personas identificadas por su nombre, registrado en un registro inalterable; las Cláusulas Contractuales Tipo se incorporan a este acuerdo y las firmaremos si lo solicitas; y nos atenemos a los seis principios de protección de datos en cualquier caso. Preferimos decirte dónde falta el piso y mostrarte lo que construimos encima antes que dejar que tu revisor encuentre el hueco y suponga que no lo sabíamos.