Última actualización: 23 de julio de 2026

Este Anexo de Tratamiento de Datos, incluidos sus Apéndices y cualesquiera documentos incorporados por referencia, se denomina, en lo sucesivo, el “DPA.”

Este DPA forma parte de los Términos de Servicio de Prime AI, de cualquier Acuerdo de Suscripción, Acuerdo de Servicios, Orden de Servicio, Formulario de Pedido u otro acuerdo escrito o electrónico celebrado entre:

Prime IA Limitada, registrada en Inglaterra y Gales con el número de compañía 11599467, con domicilio social en Oakwood Lodge, Thornden Wood Road, Herne Bay, CT6 7NX, Reino Unido (IA Prime); y

la persona o entidad jurídica que se suscriba a los Servicios o los utilice (Suscriptor).

El acuerdo que incorpora este DPA se denomina el “Acuerdo.”

Este DPA se aplica cuando Prime AI trata Datos Personales del Suscriptor en nombre del Suscriptor en relación con los Servicios.

Cuando el Suscriptor acepta el Acuerdo en nombre de una empresa u otra entidad jurídica, la persona que acepta el Acuerdo confirma que está autorizada para vincular jurídicamente a dicha entidad a este DPA.

1. Definiciones

1.1 Leyes de protección de datos aplicables

“Leyes de protección de datos aplicables” significa toda la legislación sobre protección de datos, privacidad y comunicaciones electrónicas aplicable al tratamiento de los Datos Personales del Suscriptor en virtud del Acuerdo, incluyendo, cuando corresponda:

a. el Reglamento General de Protección de Datos del Reino Unido;

b. la Ley de Protección de Datos de 2018;

c. el Reglamento de Privacidad y Comunicaciones Electrónicas (Directiva CE) de 2003, según haya sido modificado o sustituido;

d. Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos;

e. las leyes nacionales aplicables que implementen o complementen el RGPD de la UE; y

f. otras leyes aplicables de protección de datos y privacidad en las jurisdicciones en las que se traten los Datos Personales del Suscriptor o en las que el Suscriptor esté establecido.

1.2 Controlador, procesador y términos relacionados

Los términos "Responsable del tratamiento", "Encargado del tratamiento", "Interesado", "Datos personales", "Tratamiento", "Autoridad de control" y Categorías especiales de datos personales tienen los significados que se les atribuyen conforme a las Leyes de Protección de Datos Aplicables.

1.3 Acuerdo

Acuerdo significa los Términos de Servicio de Prime AI, el Contrato de Suscripción, el Contrato de Servicios, la Orden de Servicio, el Formulario de Pedido u otro acuerdo escrito o electrónico que rija el uso de los Servicios por parte del Suscriptor.

1.4 Documentación

“Documentación” significa la documentación técnica, de seguridad, de integración y operativa puesta a disposición por Prime AI en relación con los Servicios.

1.5 Violación de la seguridad de los datos personales

“Violación de la seguridad de los datos personales” significa una violación de la seguridad que dé lugar a la destrucción, pérdida o alteración accidental o ilícita de los Datos Personales del Suscriptor transmitidos, almacenados o tratados de otro modo por Prime AI, o la divulgación o el acceso no autorizados a dichos datos.

Una Violación de Datos Personales no incluye un intento fallido ni una actividad que no comprometa la seguridad de los Datos Personales del Suscriptor, incluidos un intento fallido de inicio de sesión, un análisis de red, un intento de denegación de servicio o una actividad similar.

1.6 Transferencia restringida

Transferencia restringida significa una transferencia de Datos Personales a un país o destinatario que no esté cubierto por una decisión de adecuación o un reglamento de adecuación aplicable y que, por lo tanto, requiere una garantía de transferencia apropiada conforme a las Leyes de Protección de Datos Aplicables.

1.7 Servicios

“Servicios” significa los productos, el software, las API, las aplicaciones, los servicios alojados, el soporte y los servicios relacionados suministrados por Prime AI en virtud del Acuerdo.

1.8 Datos del Suscriptor

“Datos del Suscriptor” significa los datos enviados a, transmitidos a, recopilados a través de o procesados de otro modo por los Servicios por cuenta del Suscriptor.

1.9 Datos personales del suscriptor

“Datos Personales del Suscriptor” significa los Datos Personales contenidos en los Datos del Suscriptor que Prime AI procesa en nombre del Suscriptor.

1.10 Subencargado del tratamiento

“Subencargado del tratamiento” significa un tercero, incluido un Afiliado de Prime AI, designado por o en nombre de Prime AI para tratar los Datos Personales del Suscriptor en relación con los Servicios.

1.11 Plazo

Término significa el período durante el cual Prime AI presta los Servicios al Suscriptor, junto con cualquier período limitado posterior a la terminación durante el cual Prime AI trata los Datos Personales del Suscriptor con fines de eliminación, devolución, seguridad, copia de seguridad, cumplimiento legal o resolución de disputas.

2. Alcance y orden de precedencia

2.1 Este DPA se aplica únicamente en la medida en que Prime AI procese Datos Personales del Suscriptor como Encargado del Tratamiento, por cuenta del Suscriptor.

2.2 El presente DPA no se aplica a la información para la cual Prime AI actúa como Responsable independiente del tratamiento, según se describe en la sección 4.

2.3 En caso de conflicto relativo al tratamiento de los Datos Personales del Suscriptor, se aplicará el siguiente orden de precedencia:

a. cualesquiera términos obligatorios aplicables relativos a la transferencia internacional de datos;

b. este DPA;

c. la Orden de Servicio aplicable o el Formulario de Pedido;

d. las demás disposiciones del Acuerdo; y

e. la documentación.

2.4 Un acuerdo de tratamiento de datos firmado por separado entre Prime AI y el Suscriptor prevalecerá sobre este DPA estándar en la medida en que exista cualquier conflicto directo.

3. Roles de las partes

3.1 El Suscriptor es el Responsable del Tratamiento de los Datos Personales del Suscriptor, salvo que el Suscriptor actúe como Encargado del Tratamiento en nombre de otro Responsable del Tratamiento.

3.2 Prime AI es el Encargado del Tratamiento de los Datos Personales del Suscriptor tratados en nombre del Suscriptor para prestar los Servicios.

3.3 Cada Parte deberá cumplir con las obligaciones que le resulten aplicables en virtud de las Leyes de Protección de Datos Aplicables.

3.4 El Suscriptor determina:

a. los fines para los que se despliegan los Servicios;

b. las categorías de Interesados cuyos Datos Personales son objeto de tratamiento;

c. la base jurídica del tratamiento;

d. cómo se utilizan los resultados, los identificadores, las recomendaciones y las señales de riesgo;

e. los plazos de conservación aplicables dentro de los propios sistemas del Suscriptor; y

f. cualesquiera acciones o decisiones adoptadas utilizando información proporcionada por los Servicios.

3.5 Nada en este DPA exime al Suscriptor de sus propias responsabilidades como Responsable del Tratamiento o Encargado del Tratamiento en virtud de las Leyes de Protección de Datos Aplicables.

4. Prime AI actuando como Responsable independiente del tratamiento

4.1 Prime AI podrá tratar Datos Personales limitados como Responsable del tratamiento independiente cuando sea necesario para:

a. administrar la cuenta del Suscriptor;

b. gestionar la facturación, los pagos y los registros financieros;

c. comunicarse con los representantes del Suscriptor;

d. proporcionar asistencia al cliente;

e. proteger la seguridad e integridad de los Servicios;

f. detectar el uso indebido de los sistemas o credenciales de Prime AI;

g. mantener registros legales, reglamentarios y de cumplimiento normativo;

h. el establecimiento, el ejercicio o la defensa de reclamaciones legales; y

i. generar análisis del servicio agregados o desidentificados.

4.2 El Tratamiento realizado por Prime AI como Responsable independiente se rige por la Política de Privacidad de Prime AI y las Leyes Aplicables de Protección de Datos y no está sujeto a las obligaciones del Encargado en este DPA.

5. Instrucciones para el suscriptor

5.1 Prime AI únicamente procesará los Datos Personales del Suscriptor:

a. conforme a las instrucciones documentadas del Suscriptor;

b. según sea necesario para prestar, mantener, proteger y dar soporte a los Servicios;

c. de conformidad con el Contrato, la Orden de Servicio aplicable, este DPA y la Documentación;

d. conforme a las configuraciones y la funcionalidad seleccionadas por el Suscriptor; o

e. cuando el tratamiento sea exigido por la ley aplicable.

5.2 El Acuerdo, las Órdenes de Servicio, la Documentación, el uso y la configuración de los Servicios por parte del Suscriptor, y las comunicaciones escritas del Suscriptor constituyen las instrucciones documentadas del Suscriptor.

5.3 Cuando la ley aplicable exija que Prime AI trate Datos Personales del Suscriptor de forma distinta a las instrucciones del Suscriptor, Prime AI informará al Suscriptor antes de llevar a cabo dicho tratamiento, salvo que la ley prohíba tal notificación.

5.4 Prime AI informará de inmediato al Suscriptor si, a juicio razonable de Prime AI, una instrucción infringe las Leyes Aplicables de Protección de Datos.

5.5 Prime AI podrá suspender el tratamiento afectado hasta que las Partes acuerden una instrucción lícita.

5.6 Prime AI no deberá:

a. vender los Datos Personales del Suscriptor;

b. utilizar los Datos Personales del Suscriptor para fines publicitarios no relacionados;

c. procesar los Datos Personales del Suscriptor con fines materialmente incompatibles con el Acuerdo; o

d. revelar Datos Personales del Suscriptor, salvo según lo permitido por el Acuerdo, este DPA, las instrucciones del Suscriptor o la legislación aplicable.

6. Responsabilidades del suscriptor

6.1 El Suscriptor garantiza y se asegurará de que:

a. sus instrucciones a Prime AI cumplen con las Leyes Aplicables de Protección de Datos;

b. cuenta con una base jurídica adecuada para el tratamiento;

c. ha facilitado a los Interesados toda la información sobre privacidad legalmente requerida;

d. ha obtenido todos los consentimientos o autorizaciones legalmente requeridos;

e. su uso de los Servicios es necesario y proporcionado para la finalidad pertinente;

f. Los Datos Personales del Suscriptor son exactos, pertinentes y limitados a lo necesario;

g. ha implementado políticas adecuadas de retención y eliminación;

h. responde adecuadamente a las solicitudes de los Interesados;

i. lleva a cabo cualquier evaluación de intereses legítimos legalmente requerida o evaluación de impacto en la protección de datos; y

j. no utiliza los Servicios de forma que discrimine ilícitamente ni afecte injustamente a un Sujeto de Datos.

6.2 Cuando el Suscriptor utilice la API de Identificador Persistente del Dispositivo y Señales de Riesgo, el Suscriptor será responsable de determinar si su implementación implica almacenar información en el dispositivo de un usuario o acceder a información desde dicho dispositivo.

6.3 El Suscriptor es responsable de:

a. determinar si el consentimiento, una exención aplicable u otro requisito legal se aplica conforme al PECR o a una legislación equivalente;

b. proporcionar información clara y completa sobre la tecnología;

c. implementar cualquier mecanismo de consentimiento o de gestión de preferencias requerido;

d. determinar si debe proporcionarse un mecanismo sencillo para oponerse;

e. documentar su evaluación de cumplimiento; y

f. garantizar que los Servicios se utilicen únicamente para fines lícitos de seguridad, prevención de fraude, gestión de riesgos o prevención de abusos.

6.4 A menos que se acuerde expresamente por escrito, el Suscriptor no deberá remitir a Prime AI a través de los Servicios:

a. contraseñas de cuentas o secretos de autenticación;

b. detalles completos de la tarjeta de pago;

c. credenciales de la cuenta bancaria;

d. números de identificación gubernamental;

e. Datos personales de categorías especiales;

f. datos biométricos utilizados para identificar de manera única a una persona;

g. información relativa a condenas e infracciones penales; o

h. Datos Personales específicamente relacionados con los niños.

6.5 La API de ID de Dispositivo Persistente y Señales de Riesgo está diseñada para recibir información técnica sobre el dispositivo y la sesión. El Suscriptor no debe transmitir nombres, direcciones de correo electrónico, números de teléfono, direcciones postales u otra información de cuenta que permita la identificación directa a través de la API, a menos que así lo exija expresamente la Documentación y lo acuerde Prime AI.

6.6 Cuando el Suscriptor combine un identificador o una señal de riesgo que haya devuelto Prime AI con información de clientes, cuentas, transacciones o de identidad que obre en poder del Suscriptor, el Suscriptor será responsable de dicha combinación y del tratamiento resultante.

7. Confidencialidad

7.1 Prime AI deberá garantizar que cada persona autorizada para tratar los Datos Personales del Suscriptor:

a. está sujeto a una obligación de confidencialidad adecuada, contractual o legal;

b. ha sido informado del carácter confidencial de los Datos Personales del Suscriptor;

c. recibe la formación adecuada en privacidad y seguridad; y

d. accede a los Datos Personales del Suscriptor únicamente cuando sea necesario para el desempeño de sus responsabilidades.

7.2 Prime AI limitará el acceso a los Datos Personales del Suscriptor de acuerdo con los principios de privilegios mínimos y acceso basado en roles.

8. Seguridad

8.1 Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los Interesados, Prime AI implementará y mantendrá medidas técnicas y organizativas apropiadas destinadas a proteger los Datos Personales del Suscriptor.

8.2 Las medidas de seguridad de Prime AI incluyen, según corresponda:

a. cifrado de los datos en tránsito;

b. cifrado de datos en reposo, según proceda para el sistema y el riesgo pertinentes;

c. controles de gestión de identidades y accesos;

d. autenticación multifactor para acceso privilegiado;

e. acceso basado en roles y de privilegio mínimo;

f. registro, monitoreo y alertas;

g. separación lógica de los entornos o registros de los clientes;

h. procedimientos de desarrollo seguro y gestión de cambios;

i. procedimientos de gestión de vulnerabilidades y de parches;

j. procedimientos de copia de seguridad, resiliencia y recuperación;

k. procedimientos de respuesta a incidentes;

l. formación de empleados en confidencialidad y seguridad;

m. Diligencia debida del Subprocesador y controles contractuales; y

s. revisión periódica de la eficacia de las medidas de seguridad.

8.3 Prime AI podrá actualizar sus medidas técnicas y organizativas durante el Plazo, siempre que el nivel general de protección de los Datos Personales del Suscriptor no se vea materialmente reducido.

8.4 La información adicional relativa a las medidas técnicas y organizativas de Prime AI podrá ponerse a disposición de los Suscriptores con los que se haya suscrito un contrato, previa solicitud escrita razonable y sujeta a las obligaciones de confidencialidad adecuadas.

8.5 El Suscriptor reconoce que no se puede garantizar que ningún servicio basado en Internet sea completamente seguro y que el Suscriptor es responsable de proteger:

a. sus propios sitios web, aplicaciones e infraestructura;

b. sus claves de API, contraseñas y credenciales de acceso;

c. sus sistemas que reciben resultados de Prime AI;

d. acceso a identificadores y señales de riesgo dentro de su organización; y

e. cualesquiera Datos Personales conservados en los sistemas propios del Suscriptor.

9. Brechas de datos personales

9.1 Prime AI deberá notificar al Suscriptor sin dilación indebida tras tener conocimiento de una violación confirmada de la seguridad de los datos personales que afecte a los Datos Personales del Suscriptor.

9.2 La notificación deberá incluir, en la medida en que la información esté razonablemente disponible:

a. la naturaleza de la violación de la seguridad de los datos personales;

b. las categorías de Datos Personales del Suscriptor afectadas;

c. las categorías y el número aproximado de Interesados afectados, si se conocen;

d. las posibles consecuencias de la violación de la seguridad de los datos personales;

e. las medidas adoptadas o propuestas para contenerlo, investigarlo y mitigarlo; y

f. información de contacto adecuada para futuras comunicaciones.

9.3 Cuando no toda la información pertinente esté disponible de inmediato, Prime AI podrá proporcionar la información en fases sin demora indebida adicional.

9.4 Prime AI tomará medidas razonables para contener, investigar, subsanar y mitigar los efectos de la Violación de la Seguridad de los Datos Personales.

9.5 Prime AI prestará una cooperación razonable para asistir al Suscriptor en el cumplimiento de sus obligaciones de notificación de incumplimientos.

9.6 Una notificación en virtud de esta sección no constituye una admisión de culpa ni de responsabilidad por parte de Prime AI.

9.7 El Suscriptor es responsable de determinar si debe efectuarse una notificación a una Autoridad de Control, a los Titulares de los Datos afectados o a un tercero.

10. Derechos de los interesados

10.1 Teniendo en cuenta la naturaleza del tratamiento, Prime AI prestará una asistencia razonable para permitir que el Suscriptor responda a las solicitudes de los Interesados que ejerzan sus derechos en virtud de las Leyes de Protección de Datos Aplicables.

10.2 Dichos derechos pueden incluir:

a. acceso;

b. rectificación;

c. supresión;

d. limitación del tratamiento;

e. portabilidad de los datos;

f. objeción; y

g. derechos relativos a la toma de decisiones automatizada.

10.3 Si Prime AI recibe una solicitud directamente de un Interesado relacionada con los Datos Personales del Suscriptor, Prime AI deberá:

a. no responder en lo sustantivo salvo que el Suscriptor lo autorice o lo exija la ley; y

b. remitir la solicitud al Suscriptor pertinente cuando sea razonablemente posible identificarlo.

10.4 El Suscriptor reconoce que algunos identificadores técnicos podrían no permitir que Prime AI, por sí sola, identifique a un Sujeto de Datos determinado sin información adicional que obre en poder del Suscriptor.

10.5 Prime AI podrá cobrar tarifas razonables por la asistencia que implique un trabajo sustancial fuera de la funcionalidad habitual de los Servicios, salvo que dicha asistencia sea necesaria debido a un incumplimiento de este DPA por parte de Prime AI.

11. Asistencia para el cumplimiento normativo

11.1 Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Prime AI, Prime AI prestará una asistencia razonable al Suscriptor en relación con:

a. la seguridad del tratamiento;

b. evaluación y notificación de violaciones de la seguridad de los datos personales;

c. notificación a los Titulares de los Datos afectados;

d. evaluaciones de impacto relativas a la protección de datos;

e. consulta previa con una Autoridad de Control; y

f. demostrar el cumplimiento de las obligaciones del Suscriptor como Responsable del tratamiento en relación con el tratamiento realizado por Prime AI.

11.2 Prime AI podrá cobrar tarifas razonables por la prestación de asistencia sustancial que no sea consecuencia de un incumplimiento por parte de Prime AI de este DPA.

12. Subprocesadores

12.1 El Suscriptor otorga a Prime AI una autorización general por escrito para designar a los Subencargados del Tratamiento enumerados en la página de Subencargados del Tratamiento de Infraestructura de Prime AI.

12.2 Prime AI mantendrá una lista actualizada que identifique:

a. cada Subencargado del Tratamiento;

b. los servicios que presta;

c. las categorías de tratamiento que lleva a cabo; y

d. la ubicación principal de procesamiento.

12.3 Prime AI notificará con una antelación razonable su intención de añadir o sustituir a un Subencargado del Tratamiento que vaya a tratar Datos Personales del Suscriptor.

12.4 El Suscriptor podrá oponerse al nombramiento propuesto por motivos razonables de protección de datos, mediante notificación por escrito en un plazo de 10 Días Hábiles desde la recepción de la notificación del cambio propuesto.

12.5 La objeción del Suscriptor deberá explicar la preocupación específica en materia de protección de datos.

12.6 Las Partes deberán trabajar de buena fe para resolver una objeción válida, lo que incluye considerar una alternativa comercialmente razonable cuando esté disponible.

12.7 Si las Partes no pueden resolver la objeción y Prime AI no puede prestar el Servicio afectado sin el Subencargado del Tratamiento propuesto, cualquiera de las Partes podrá dar por terminado el Servicio afectado.

12.8 Cuando el Suscriptor haya pagado por adelantado las tarifas para el período posterior a la terminación de conformidad con la sección 12.7, Prime AI reembolsará las tarifas pagadas por adelantado correspondientes al período no utilizado del Servicio afectado.

12.9 Antes de que un Subprocesador trate los Datos Personales del Suscriptor, Prime AI deberá celebrar un acuerdo por escrito que imponga obligaciones de protección de datos que proporcionen un nivel de protección equivalente al de las obligaciones establecidas en este DPA.

12.10 Prime AI sigue siendo responsable ante el Suscriptor por el cumplimiento de las obligaciones de protección de datos de cada Subencargado del Tratamiento, en la medida en que lo exijan las Leyes de Protección de Datos Aplicables.

13. Transferencias internacionales de datos

13.1 Prime AI trata principalmente los Datos Personales del Suscriptor dentro del Reino Unido y del Espacio Económico Europeo, con sujeción a los acuerdos aplicables del Servicio y a los acuerdos con Subencargados del Tratamiento identificados en la página de Subencargados del Tratamiento de Infraestructura.

13.2 Prime AI no deberá realizar una Transferencia Restringida salvo que:

a. la transferencia se realiza a un país o destinatario amparado por una decisión o normativa de adecuación aplicable;

b. la transferencia está sujeta a garantías contractuales adecuadas;

c. es aplicable otro mecanismo de transferencia legalmente reconocido; o

d. la transferencia está permitida de otro modo conforme a las Leyes Aplicables de Protección de Datos.

13.3 Las garantías adecuadas pueden incluir:

a. las Cláusulas Contractuales Tipo de la Comisión Europea;

b. el Acuerdo de transferencia internacional de datos del Reino Unido;

c. la Adenda del Reino Unido a las Cláusulas Contractuales Tipo de la Comisión Europea; o

d. otro mecanismo de transferencia aprobado.

13.4 Prime AI deberá implementar medidas técnicas, contractuales u organizativas complementarias cuando así lo requieran razonablemente las Leyes Aplicables de Protección de Datos.

13.5 Previa solicitud razonable, Prime AI proporcionará información relativa al mecanismo de transferencia aplicable a los Datos Personales del Suscriptor.

14. Devolución y eliminación

14.1 Al producirse la terminación o el vencimiento de los Servicios afectados, Prime AI deberá, conforme a la elección del Suscriptor efectuada por escrito:

a. devolver los Datos Personales del Suscriptor que sean razonablemente susceptibles de ser devueltos; o

b. eliminar los Datos Personales del Suscriptor,

a menos que la ley aplicable requiera que Prime AI la conserve.

14.2 Si el Suscriptor no comunica su elección dentro de los 30 días posteriores a la terminación, Prime AI podrá eliminar los Datos Personales del Suscriptor de conformidad con sus procedimientos estándar de eliminación.

14.3 Salvo que se especifique un plazo diferente en la Orden de Servicio aplicable o en el Anexo 1, Prime AI pondrá los Datos Personales del Suscriptor fuera de uso ordinario y los eliminará de los sistemas de producción activos dentro de los 30 días posteriores a la terminación.

14.4 Los Datos Personales del Suscriptor contenidos en las copias de seguridad podrán permanecer hasta que la copia de seguridad correspondiente sea sobrescrita o eliminada mediante el ciclo normal de copias de seguridad de Prime AI, siempre que:

a. los datos permanecen debidamente protegidos;

b. el acceso está restringido;

c. los datos no se restauran salvo para fines legítimos de recuperación ante desastres o de seguridad; y

d. los datos se eliminan cuando se sobrescribe la copia de seguridad correspondiente.

14.5 Prime AI podrá conservar información limitada cuando sea necesario para:

a. cumplimiento legal o normativo;

b. registros de facturación y financieros;

c. seguridad y prevención del uso indebido;

d. resolución de disputas; o

e. el establecimiento, el ejercicio o la defensa de reclamaciones legales.

14.6 La información retenida en virtud de la sección 14.5 permanecerá protegida y no será tratada para otra finalidad.

15. Demostración del cumplimiento y auditorías

15.1 Prime AI deberá mantener los registros y la información razonablemente necesarios para demostrar el cumplimiento de sus obligaciones en virtud del presente DPA.

15.2 Previa solicitud razonable por escrito, Prime AI proporcionará la información pertinente sobre el cumplimiento.

15.3 Las Partes acuerdan que, por lo general, deberían utilizarse la documentación pertinente y los materiales de aseguramiento independiente antes de solicitar una auditoría in situ.

15.4 Cuando la información proporcionada en virtud de la Sección 15.2 no sea razonablemente suficiente, el Suscriptor podrá llevar a cabo una auditoría del cumplimiento de este DPA por parte de Prime AI, sujeta a las siguientes condiciones:

a. no se podrá realizar más de una auditoría en cualquier período de 12 meses, salvo tras una Violación de la Seguridad de los Datos Personales confirmada o cuando lo exija una Autoridad de Control;

b. el Suscriptor deberá proporcionar un preaviso por escrito de al menos 30 días, salvo que la ley o una Autoridad Supervisora exija un plazo más breve;

c. la auditoría deberá llevarse a cabo durante el horario comercial normal;

d. la auditoría debe limitarse a los sistemas, registros y procesamiento pertinentes para el Suscriptor;

e. la auditoría no debe interferir de manera irrazonable con las operaciones de Prime AI;

f. el auditor debe ser independiente, estar debidamente cualificado y sujeto a obligaciones de confidencialidad;

g. el auditor no debe ser un competidor directo de Prime AI;

h. la auditoría no debe proporcionar acceso a los datos de otro cliente, ni al código fuente de Prime AI, ni a información sobre vulnerabilidades, ni a información que pueda comprometer la seguridad de los Servicios; y

i. El Suscriptor asumirá sus propios costes de auditoría y los costes razonables en que incurra Prime AI para apoyar la auditoría, salvo que la auditoría identifique un incumplimiento material de este DPA por parte de Prime AI.

15.5 Prime AI informará al Suscriptor si, a juicio razonable de Prime AI, una instrucción de auditoría infringe las Leyes de Protección de Datos Aplicables o crea un riesgo de seguridad irrazonable.

16. Responsabilidad

16.1 La responsabilidad contractual de cada una de las Partes derivada de o en relación con este DPA está sujeta a las exclusiones y limitaciones de responsabilidad contenidas en el Acuerdo.

16.2 Nada en este DPA limita ni excluye:

a. las obligaciones legales de cualquiera de las Partes en virtud de las Leyes de Protección de Datos Aplicables;

b. responsabilidad que legalmente no puede ser limitada ni excluida;

c. responsabilidad por fraude o por declaración falsa dolosa; o

d. responsabilidad por muerte o lesiones personales causadas por negligencia.

16.3 Nada en la sección 16.1 impide que un Interesado o una Autoridad de Control ejerza los derechos o facultades disponibles en virtud de las Leyes Aplicables de Protección de Datos.

17. Vigencia y supervivencia

17.1 Este DPA entra en vigor cuando el Suscriptor:

a. acepta electrónicamente los Términos de Servicio de Prime AI;

b. selecciona una casilla de verificación u otro mecanismo electrónico que confirma la aceptación de este DPA;

c. celebra una Orden de Servicio u otro Acuerdo que incorpore este DPA;

d. instala o activa una aplicación de Prime AI a través de una plataforma de terceros en la que este DPA esté claramente incorporado en los términos aplicables; o

e. firma este DPA u otro Acuerdo que lo incorpore.

17.2 El presente DPA permanecerá en vigor mientras Prime AI trate los Datos Personales del Suscriptor.

17.3 Las obligaciones relativas a la confidencialidad, la seguridad, la eliminación, las auditorías, la responsabilidad y las transferencias internacionales seguirán vigentes tras la terminación durante el tiempo en que Prime AI conserve los Datos Personales del Suscriptor.

18. Cambios a este DPA

18.1 Prime AI podrá actualizar este DPA cuando resulte razonablemente necesario para:

a. cumplir con los cambios en las Leyes Aplicables de Protección de Datos;

b. reflejar cambios en los Servicios o en las actividades de tratamiento;

c. implementar nuevas directrices regulatorias;

d. mejorar la claridad del DPA; o

e. mantener salvaguardias adecuadas.

18.2 Prime AI deberá identificar la fecha en la que el DPA fue actualizado por última vez.

18.3 Prime AI dará a los Suscriptores afectados un aviso previo razonable de un cambio sustancial, salvo cuando un cambio inmediato sea exigido por la ley, una autoridad reguladora o un requisito de seguridad urgente.

18.4 Una actualización sustancial no reducirá intencionalmente la protección general proporcionada a los Datos Personales del Suscriptor.

18.5 Cuando un acuerdo suscrito por separado establezca un procedimiento de modificación distinto, dicho procedimiento será de aplicación.

19. Ley aplicable y jurisdicción

19.1 Este DPA se rige por la ley aplicable especificada en el Acuerdo.

19.2 En caso de que el Acuerdo no especifique la ley aplicable, este DPA se regirá por las leyes de Inglaterra y Gales.

19.3 Los tribunales especificados en el Acuerdo serán competentes respecto de las controversias relativas al presente DPA.

19.4 Cuando el Acuerdo no especifique la jurisdicción, los tribunales de Inglaterra y Gales tendrán jurisdicción exclusiva, con sujeción a cualesquiera derechos o potestades de carácter imperativo con arreglo a las Leyes de Protección de Datos Aplicables.

20. Información de contacto

Prime IA Limitada

Registrada en Inglaterra y Gales con el número de empresa 11599467

Oakwood Lodge
Calle Thornden Wood
Herne Bay
CT6 7NX
Reino Unido

Contacto de privacidad: [email protected] 

También puede ponerse en contacto con Prime AI a través de la página de contacto.

Anexo 1: Detalles del Tratamiento

1. Información general sobre el procesamiento

Tema

El tratamiento de los Datos Personales del Suscriptor, según sea necesario para prestar, mantener, proteger y dar soporte a los Servicios seleccionados por el Suscriptor.

Duración

El Plazo del Servicio aplicable, junto con los períodos limitados de eliminación, copia de seguridad y conservación legal descritos en este DPA y en la Orden de Servicio aplicable.

Frecuencia

Continuo, periódico o basado en eventos, según el Servicio y el uso y la configuración que el Suscriptor haga del mismo.

Titulares de los datos

Dependiendo de los Servicios seleccionados, los Titulares de los Datos pueden incluir:

a. visitantes de los sitios web o aplicaciones del Suscriptor;

b. usuarios registrados y no registrados;

c. clientes y clientes potenciales del Suscriptor;

d. compradores y usuarios de servicios de comercio electrónico;

e. empleados o usuarios autorizados del Suscriptor;

f. individuos que aparecen en imágenes enviadas a los Servicios visuales; y

g. otras personas físicas cuyos Datos Personales son proporcionados a los Servicios por el Suscriptor o en su nombre.

Categorías especiales de datos personales

Los Servicios no están destinados a tratar categorías especiales de datos personales, datos biométricos utilizados para identificar de forma única a una persona, datos relativos a condenas e infracciones penales o datos específicamente relativos a menores de edad, salvo que se acuerde expresamente por escrito.

2. Identificador persistente de dispositivo y API de señales de riesgo

Propósito

Para proporcionar inteligencia de dispositivos y sesiones con fines legítimos de seguridad, prevención del fraude, gestión de riesgos y prevención de abusos.

Los posibles casos de uso incluyen:

a. reconocer dispositivos que regresan;

b. detectar la creación repetida de cuentas o la actividad con varias cuentas;

c. identificar el abuso de periodos de prueba gratuitos, promociones o programas de referidos;

d. detectar la automatización o la actividad de bots;

e. identificar comportamiento sospechoso del navegador, del dispositivo, de la red o de la sesión;

f. apoyar la revisión del Suscriptor de actividad potencialmente fraudulenta o abusiva; y

g. proteger cuentas, transacciones, contenido digital y servicios.

Naturaleza del tratamiento

El procesamiento puede incluir:

a. recopilación y recepción;

b. transmisión;

c. organización y estructuración;

d. comparación y emparejamiento;

e. análisis;

f. generación de identificadores persistentes o de sesión;

g. generación de indicadores de confianza y señales de riesgo;

h. almacenamiento y recuperación;

i. monitoreo de seguridad; y

j. eliminación.

Categorías de datos personales

Según la implementación del Suscriptor, el procesamiento puede incluir:

a. Dirección IP e información general de la red;

b. tipo y versión del navegador;

c. información del sistema operativo y del dispositivo;

d. atributos de configuración del dispositivo y del navegador;

e. información sobre la pantalla, el idioma, la configuración regional y la zona horaria;

f. identificadores en línea, de dispositivos, de sesión y de solicitud;

g. marcas de tiempo y metadatos de la solicitud;

h. el dominio del Suscriptor o la aplicación desde donde se origina una solicitud;

i. información sobre la coherencia del dispositivo y de la sesión;

j. indicadores de navegación privada o de incógnito;

k. Indicadores de redes VPN y de centros de datos;

l. indicadores de automatización, de bots o de navegadores sin interfaz (headless);

m. indicadores de actividad de las herramientas para desarrolladores;

n. indicadores de manipulación o alteración del navegador;

o. inconsistencias de la zona horaria y de la red;

p. puntuaciones de confianza, niveles de riesgo y campos de acción recomendada; y

q. Registros de uso de la API y de seguridad.

Salidas

Prime AI puede devolver:

a. identificadores de dispositivo persistentes;

b. identificadores de sesión;

c. indicadores del dispositivo de retorno;

d. telemetría técnica;

e. indicadores de confianza;

f. señales de riesgo;

g. niveles de riesgo; y

h. campos de acción recomendada o campos de soporte para la toma de decisiones definidos por el cliente.

El Suscriptor determina cómo se interpretan y utilizan estos resultados.

Retención

Los datos del identificador de dispositivo persistente y de la API de señales de riesgo (eventos, dispositivo y sesión) se conservan durante 360 días, a menos que en la Orden de Servicio o en la Documentación aplicable se especifique un período diferente.

Los registros de seguridad, facturación y uso de la API pueden conservarse durante más tiempo cuando sea razonablemente necesario para fines de seguridad, cumplimiento legal, facturación o resolución de disputas.

3. Servicios de medición de tallas para ropa, calzado y sujetadores

Propósito

Para proporcionar tallas de productos, recomendaciones de ajuste y análisis relacionados al Suscriptor y a sus usuarios.

Naturaleza del tratamiento

El tratamiento puede incluir la recopilación, la transmisión, el análisis, la comparación, la generación de recomendaciones, el almacenamiento, la recuperación y la eliminación.

Categorías de datos personales

En función del Servicio y de la configuración pertinentes, el tratamiento puede incluir:

a. altura;

b. peso;

c. rango de edad;

d. selección de sexo o género cuando la proporcione el usuario;

e. medidas corporales, de prendas o de calzado;

f. preferencias de ajuste;

g. selecciones de producto y de talla;

h. respuestas al cuestionario de tallas;

i. información de compra, devolución o interacción con el producto proporcionada por el Suscriptor;

j. identificadores seudónimos de cliente o de sesión;

k. fotografías presentadas voluntariamente con fines de medición o de recomendación; y

l. resultados de recomendación e información de confianza asociada.

Los Servicios no están destinados a inferir información sobre la salud ni otros datos personales de categorías especiales.

4. Búsqueda visual

Propósito

Analizar una imagen o información sobre el producto presentada por el Suscriptor o en su nombre e identificar productos o contenidos visualmente similares.

Naturaleza del tratamiento

El procesamiento puede incluir la recepción, la transmisión, el análisis de imágenes, la extracción de características, la comparación, la generación de resultados de búsqueda, el almacenamiento temporal y la eliminación.

Categorías de datos personales

El procesamiento puede incluir:

a. imágenes cargadas por los usuarios o por el Suscriptor;

b. imágenes de productos;

c. metadatos de imagen;

d. identificadores de sesión o seudónimos; y

e. información de búsqueda e interacción.

El Suscriptor deberá garantizar que cuenta con los derechos necesarios y la base jurídica para enviar imágenes al Servicio.

5. Prueba virtual, sesión de fotos con IA y servicios de visualización

Propósito

Para generar visualizaciones, resultados de prueba virtual, imágenes editadas u otros resultados visuales solicitados por el Suscriptor o sus usuarios.

Naturaleza del tratamiento

El procesamiento puede incluir la transmisión segura, el almacenamiento temporal, el análisis de imágenes, la transformación, la generación de resultados y la eliminación.

Categorías de datos personales

El procesamiento puede incluir:

a. fotografías enviadas por el Suscriptor o sus usuarios;

b. imágenes de modelos u otras personas;

c. metadatos de imagen;

d. información sobre la prenda o el producto;

e. identificadores de sesión o identificadores seudónimos; y

f. salidas visuales generadas.

Socios tecnológicos

Prime AI puede transmitir de forma segura las imágenes enviadas a un Subencargado del Tratamiento autorizado únicamente para realizar el procesamiento necesario para generar el resultado solicitado.

A menos que se especifique lo contrario en la Orden de Servicio o en la Documentación, las imágenes utilizadas para el procesamiento temporal no son conservadas por Prime AI una vez generado el resultado, salvo en los casos en que:

a. el Suscriptor solicita almacenamiento;

b. la retención temporal es técnicamente necesaria para proporcionar el resultado;

c. la retención es necesaria por motivos de seguridad o para la resolución de problemas; o

d. la retención es obligatoria por ley.

Estos Servicios no están destinados a realizar identificación biométrica ni a determinar la identidad de una persona.

6. Soporte y administración de cuentas

Propósito

Para proporcionar soporte técnico, investigar errores, proteger los Servicios y administrar la cuenta del Suscriptor.

Categorías de datos personales

El procesamiento puede incluir:

a. nombres y datos de contacto profesionales del personal del Suscriptor;

b. apoyar las comunicaciones;

c. registros técnicos;

d. información de la cuenta;

e. capturas de pantalla o archivos proporcionados voluntariamente al personal de soporte; y

f. información necesaria para investigar un problema.

Prime AI puede actuar como Responsable del Tratamiento independiente para determinados tratamientos relativos a la cuenta, la seguridad y la administración empresarial, según se describe en la sección 4 de este DPA.

Anexo 2: Medidas técnicas y organizativas

Prime AI mantiene medidas técnicas y organizativas adecuadas a la naturaleza de los Servicios y a los riesgos asociados al tratamiento.

Estas medidas incluyen, según corresponda:

1. Gobernanza de la seguridad de la información

a. responsabilidades de seguridad documentadas;

b. políticas internas de seguridad y privacidad;

c. revisión periódica de los controles de seguridad;

d. procedimientos de evaluación de riesgos y de remediación; y

e. supervisión de la dirección sobre cuestiones de seguridad.

2. Control de acceso

a. acceso basado en roles;

b. acceso con privilegios mínimos;

c. cuentas de usuario únicas;

d. autenticación multifactor para los sistemas apropiados;

e. requisitos de gestión de contraseñas y credenciales;

f. revisión periódica de accesos; y

g. revocación oportuna del acceso cuando ya no sea necesario.

3. Confidencialidad y seguridad del personal

a. obligaciones contractuales de confidencialidad;

b. capacitación en privacidad y seguridad;

c. acceso limitado según las responsabilidades laborales; y

d. procedimientos apropiados para la incorporación, el cambio de funciones o la salida de empleados y contratistas.

4. Cifrado y seguridad de la transmisión

a. cifrado de los datos en tránsito mediante protocolos de seguridad del transporte adecuados;

b. cifrado de datos en reposo, según proceda para el sistema y el riesgo pertinentes;

c. gestión segura de claves de cifrado y credenciales; y

d. controles diseñados para prevenir la interceptación o la divulgación no autorizadas.

5. Seguridad de la infraestructura y de las aplicaciones

a. configuración segura;

b. controles de red e infraestructura;

c. identificación y remediación de vulnerabilidades;

d. procedimientos de gestión de parches;

e. prácticas de desarrollo seguro y de gestión del cambio;

f. separación entre el acceso de desarrollo y el de producción cuando corresponda; y

g. controles destinados a prevenir el código malicioso y el acceso no autorizado.

6. Registro y monitoreo

a. registro de los eventos administrativos y de seguridad adecuados;

b. monitoreo de actividades sospechosas;

c. procedimientos de alerta e investigación; y

d. retención de registros de seguridad relevantes conforme a los requisitos documentados.

7. Disponibilidad y resiliencia

a. procedimientos de copia de seguridad;

b. medidas de redundancia y resiliencia adecuadas para los Servicios;

c. procedimientos de recuperación y restauración;

d. planificación de respuesta a incidentes; y

e. revisión periódica de las disposiciones de continuidad del negocio.

8. Separación y minimización de datos

a. separación lógica de los datos de los clientes o de los entornos, cuando corresponda;

b. tratamiento limitado a los datos necesarios para prestar el Servicio correspondiente;

c. acceso restringido a los datos de producción; y

d. procedimientos de supresión o anonimización.

9. Gestión de incidentes

a. procedimientos documentados de respuesta a incidentes;

b. procesos de escalamiento e investigación;

c. procedimientos de contención y remediación;

d. procedimientos de notificación de brechas de seguridad; y

e. revisión posterior al incidente cuando corresponda.

10. Gestión de proveedores

a. debida diligencia antes de designar a los Subencargados del tratamiento pertinentes;

b. obligaciones escritas de protección de datos y confidencialidad;

c. revisión de las medidas de seguridad pertinentes del proveedor; y

d. supervisión continua proporcional al riesgo del tratamiento.