Anexo de Tratamiento de Datos

Este Anexo de Tratamiento de Datos (el “DPA”) se celebra entre BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “nosotros”) y el cliente que ha aceptado los Términos del servicio de LumaKol (el “Cliente”, “usted”).

Este DPA forma parte de los Términos del servicio para todos los Clientes y se aplica siempre que LumaKol trata datos personales en nombre del Cliente, ya sea conforme a la Digital Personal Data Protection Act de 2023 de la India, el GDPR, el UK GDPR o cualquier otra ley de protección de datos. Se aplica automáticamente; no necesita firmarlo.

Si un Cliente quiere una copia firmada por ambas partes para sus registros, puede solicitarla en [email protected]. Cuando este DPA y los Términos del servicio entren en conflicto en materia de protección de datos personales, prevalece este DPA.

• “Ley de Protección de Datos” significa toda ley de protección de datos aplicable al tratamiento, incluidas la Digital Personal Data Protection Act de 2023 de la India y las normas dictadas en virtud de ella (la “DPDP Act”), el Reglamento General de Protección de Datos de la UE 2016/679 (GDPR), el UK GDPR y la UK Data Protection Act 2018, y la California Consumer Privacy Act en su versión modificada (la “CCPA”).
• “Datos Personales del Cliente” significa los datos personales que LumaKol trata en nombre del Cliente para prestar el Servicio.
• “Responsable”, “encargado”, “interesado”, “brecha de datos personales” y “tratamiento” tienen los significados que les da la Ley de Protección de Datos. Cuando se aplica la DPDP Act, “responsable” significa Data Fiduciary, “encargado” significa Data Processor e “interesado” significa Data Principal.
• “Subencargado” significa un tercero al que LumaKol contrata para tratar Datos Personales del Cliente.
• “CCT” significa las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914, y el “Anexo del Reino Unido” significa el International Data Transfer Addendum emitido por el Information Commissioner del Reino Unido.

Los demás términos con mayúscula inicial tienen los significados que les dan los Términos del servicio.

El Cliente es el responsable de los Datos Personales del Cliente y LumaKol es su encargado. Cuando el Cliente es a su vez un encargado que actúa para otro responsable, LumaKol es su subencargado y el Cliente es responsable de trasladar las instrucciones pertinentes.

LumaKol es un responsable independiente de los datos personales que necesita para gestionar la cuenta del Cliente, como los nombres de usuario, los datos de inicio de sesión y los registros de facturación. Esos datos los cubre la Política de privacidad, no este DPA.

Cuando se aplica la CCPA, el Cliente es una “business” y LumaKol su “service provider”. LumaKol no venderá ni compartirá los Datos Personales del Cliente, no los conservará, usará ni revelará para ningún fin distinto de prestar el Servicio ni fuera de su relación comercial directa con el Cliente, y no los combinará con datos personales de otras fuentes salvo en lo que permita la CCPA. LumaKol avisará al Cliente si deja de poder cumplir estas obligaciones.

El Cliente es responsable de contar con una base jurídica para el tratamiento (según la DPDP Act, el consentimiento o un uso legítimo), de la exactitud de los Datos Personales del Cliente, de dar a las personas que contacta cualquier aviso que exija la ley y de su propio cumplimiento de las leyes sobre llamadas comerciales y grabación de llamadas.

• Objeto: la prestación de LumaKol, un CRM de llamadas en el que el equipo del Cliente gestiona leads, hace llamadas desde sus propios teléfonos móviles y registra el resultado de cada llamada.
• Duración: mientras el Cliente use el Servicio y, después, hasta que los datos se eliminen conforme a “Eliminación y devolución”.
• Naturaleza: recogida, almacenamiento, organización, consulta, visualización, transmisión a los usuarios y dispositivos del Cliente, y eliminación.
• Finalidad: prestar, proteger y dar soporte al Servicio para el Cliente, y ninguna otra.

LumaKol trata los Datos Personales del Cliente solo siguiendo las instrucciones documentadas del Cliente. Los Términos del servicio, este DPA y el uso y la configuración del Servicio por parte del Cliente constituyen esas instrucciones. LumaKol avisará al Cliente si considera que una instrucción infringe la Ley de Protección de Datos, salvo que la ley se lo prohíba.

Si la ley obliga a LumaKol a tratar los Datos Personales del Cliente de otro modo, se lo comunicará al Cliente antes de hacerlo, salvo que la ley lo prohíba.

LumaKol garantiza que todas las personas a las que autoriza a tratar Datos Personales del Cliente están sujetas a un deber de confidencialidad. El acceso del personal a los Datos Personales del Cliente se limita a lo que necesita para operar el Servicio y darle soporte, y queda registrado.

LumaKol mantiene medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• cifrado de los datos en tránsito (TLS), cifrado de la base de datos en reposo y una segunda capa de cifrado AES-256 para secretos como los tokens y las contraseñas de buzones conectados;
• separación de los datos de cada cliente por espacio de trabajo, con cada consulta filtrada por el espacio de trabajo del cliente;
• contraseñas con hash Argon2id y tokens de sesión almacenados solo como hashes;
• limitación de frecuencia y bloqueo en el inicio de sesión;
• acceso basado en roles en el producto, con opciones para enmascarar números de teléfono, limitar las exportaciones y restringir quién puede escuchar las grabaciones;
• registros de auditoría de solo anexado de las acciones sensibles;
• autenticación multifactor para el personal de LumaKol, con acceso registrado a los datos de producción;
• copias de seguridad para la recuperación tras un fallo, que desaparecen en unas cuatro semanas.

LumaKol puede actualizar estas medidas siempre que el nivel general de protección no disminuya.

El Cliente autoriza a LumaKol a contratar a los subencargados descritos en la tabla siguiente. LumaKol obliga a cada subencargado, mediante contrato escrito, a cumplir obligaciones de protección de datos no menos protectoras que este DPA, y sigue siendo responsable ante el Cliente de la actuación de cada subencargado. Los nombres de los subencargados actuales se facilitan a cualquier Cliente que los solicite en [email protected] y forman parte de este DPA.

Antes de que un nuevo subencargado empiece a tratar Datos Personales del Cliente, LumaKol lo notificará por correo al propietario del espacio de trabajo con al menos 30 días de antelación, indicando su nombre. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no logran resolver la objeción, el Cliente puede dejar de usar la parte afectada del Servicio o poner fin a la suscripción.

Cuando se publique la app de iPhone, el servicio propio de la plataforma iPhone entregará sus notificaciones push; lo añadiremos a esta lista, con el aviso descrito arriba, antes de que eso ocurra. Google Drive, Sheets y Calendar, el calendario de Microsoft Outlook y los anuncios de leads de Facebook e Instagram aún no se pueden conectar.

Las grabaciones de llamadas se almacenan en los servidores de LumaKol. Las notas de voz y las fotos de visitas de campo se guardarán en el Google Drive del miembro del equipo que lo conecte, no en los servidores de LumaKol.

Los correos que un cliente envía a sus propios leads pasan por el buzón del propio cliente (Ajustes → Correo), no por el proveedor de correo de LumaKol. Los sistemas que el cliente conecta por su cuenta, como su propio sitio web, fuentes de leads, clientes de la API y endpoints de webhooks, reciben datos siguiendo las instrucciones del cliente y no son subencargados de LumaKol.

El Servicio permite al Cliente consultar, rectificar, exportar y eliminar los datos de sus leads y bloquear nuevas llamadas a un lead, para que pueda responder por sí mismo a la mayoría de las solicitudes de los interesados. Cuando no pueda, LumaKol le ayudará si lo solicita, teniendo en cuenta la naturaleza del tratamiento.

Si LumaKol recibe directamente de un interesado una solicitud sobre Datos Personales del Cliente, la trasladará al Cliente sin dilación indebida y no la responderá salvo siguiendo las instrucciones del Cliente.

LumaKol también prestará una ayuda razonable con las evaluaciones de impacto relativas a la protección de datos del Cliente y las consultas a las autoridades de control, en la medida en que se refieran al tratamiento de LumaKol.

LumaKol notificará al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas, tras tener conocimiento de una brecha de datos personales que afecte a Datos Personales del Cliente, para que el Cliente pueda cumplir sus propias obligaciones de notificar a los reguladores y a las personas afectadas (por ejemplo, en 72 horas según el GDPR y las normas de la DPDP Act). La notificación describirá, en la medida en que se conozca en ese momento, la naturaleza de la brecha, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, e indicará un contacto para obtener más información.

LumaKol mantendrá informado al Cliente a medida que se sepa más y adoptará medidas razonables para contener la brecha y limitar sus efectos. Notificar una brecha no supone admitir culpa.

Durante la suscripción, el Cliente puede exportar sus leads a CSV y leer sus datos mediante la API pública. Cuando el Cliente cierra su espacio de trabajo, o sus datos llegan al final del periodo de conservación previsto en las Condiciones de pago tras una cancelación o una pausa por falta de pago, LumaKol elimina los Datos Personales del Cliente del Servicio.

Las copias de las copias de seguridad caducan según un calendario rotativo y se eliminan cuando caducan. LumaKol solo puede conservar datos cuando la ley lo exija, y entonces solo esos datos, protegidos conforme a este DPA, durante el tiempo que exija la ley.

Previa solicitud razonable, LumaKol pondrá a disposición la información necesaria para demostrar que cumple sus obligaciones conforme a este DPA y al artículo 28 del GDPR, como respuestas escritas a cuestionarios de seguridad.

Cuando esa información no sea suficiente, el Cliente podrá auditar el cumplimiento de LumaKol, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, con un preaviso por escrito de al menos 30 días, en horario laboral, no más de una vez al año salvo que lo exija una autoridad de control o tras una brecha de datos personales, y a cargo del Cliente. Las partes acordarán el alcance de antemano para que la auditoría no perturbe el Servicio ni exponga datos de otros clientes.

LumaKol trata los Datos Personales del Cliente en la India, en Singapur y Japón, donde está alojado el Servicio, y en los países donde operan sus subencargados. Cuando esto implique una transferencia de datos personales fuera del EEE, o fuera del Reino Unido, a un país sin decisión de adecuación o normativa equivalente, las partes acuerdan que:

• para los datos del EEE, se aplican las CCT, que se incorporan a este DPA por referencia: el Módulo Dos (de responsable a encargado) cuando el Cliente es responsable, y el Módulo Tres (de encargado a encargado) cuando el Cliente es encargado, con la cláusula de adhesión opcional, la opción 2 (autorización general) de la Cláusula 9, y la ley y los tribunales de Irlanda en las Cláusulas 17 y 18;
• para los datos del Reino Unido, se aplica el Anexo del Reino Unido, que se incorpora por referencia, con sus tablas completadas con la información de este DPA;
• la información que las CCT exigen en sus anexos es la que figura arriba en “Partes”, “Objeto, duración, naturaleza y finalidad”, “Interesados y datos personales”, “Medidas de seguridad” y “Lista de subencargados”.

Cuando se aplica la DPDP Act, LumaKol no transferirá Datos Personales del Cliente a un país o territorio que el Gobierno de la India haya restringido.

Si las CCT o el Anexo del Reino Unido entran en conflicto con este DPA, prevalecen aquellos. LumaKol exige a sus subencargados que protejan las transferencias posteriores con garantías adecuadas.

La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones de los Términos del servicio, salvo cuando la Ley de Protección de Datos o las CCT no permitan limitar la responsabilidad.

Este DPA está vigente mientras LumaKol trate Datos Personales del Cliente. Las obligaciones que por su naturaleza deban subsistir, como la confidencialidad y la eliminación, subsisten tras su terminación. LumaKol puede actualizar este DPA para reflejar cambios en la ley o en el Servicio; no reducirá la protección otorgada a los Datos Personales del Cliente, y la fecha de “Última actualización” de arriba indica la versión vigente.

Las preguntas sobre este DPA, las notificaciones conforme a él y las solicitudes de una copia firmada por ambas partes se dirigen a [email protected].

Solicite una copia firmada: escriba a [email protected] indicando la razón social y la dirección de su organización, y le devolveremos este DPA firmado por nosotros.