Acuerdo de tratamiento de datos

1. Funciones

Para los datos personales de los repositorios, tiendas y contenidos que conectas a EvonX, tú eres el responsable del tratamiento y EvonX el encargado. Para los datos de cuenta y de uso que nos das directamente – tu nombre, tu correo electrónico, tus credenciales y los registros de la plataforma –, EvonX es el responsable; ese tratamiento se rige por nuestra política de privacidad y no por este DPA.

2. Qué tratamos

Objeto y finalidad. La prestación de la plataforma EvonX: analizar una base de código, planificar y generar cambios, lanzar vistas previas en vivo y entregar el resultado como pull request.

Duración. Mientras tu cuenta esté activa, más el breve periodo de conservación de la sección 9.

Categorías de datos. Cualquier dato personal que se encuentre por casualidad en el material que conectas o envías: normalmente identificadores de desarrolladores en el historial de commits, datos de ejemplo o de seed en un repositorio, contenidos de prompts e imágenes subidas y datos personales en un tema de tienda conectado.

Interesados. Tus empleados y colaboradores, así como cualquier persona cuyos datos aparezcan en el material que conectas.

3. Tus instrucciones

Solo tratamos datos personales siguiendo tus instrucciones documentadas. Usar la plataforma es en sí una instrucción: cuando pides un cambio, nos indicas que tratemos lo necesario para hacerlo. Te avisamos si consideramos que una instrucción infringe la normativa de protección de datos aplicable y, si la ley nos obliga a tratar datos más allá de tus instrucciones, te lo comunicamos antes, salvo que la ley lo prohíba.

Eres responsable de contar con una base jurídica para los datos que conectas y de no conectar categorías de datos para las que la plataforma no está pensada: los datos reales de salud, financieros o biométricos deben ocultarse o sustituirse por datos sintéticos antes de conectar un repositorio o un conjunto de datos.

4. Confidencialidad

El acceso a los datos de clientes se limita a las personas que lo necesitan para operar la plataforma y dar soporte. Están sujetas a obligaciones de confidencialidad que siguen vigentes después de terminar su relación.

5. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado del tráfico en tránsito con TLS, el almacenamiento en el servidor de las credenciales de los servicios conectados, la separación de los datos de clientes por espacio de trabajo, entornos de vista previa aislados con sus propias bases de datos efímeras y control de acceso basado en roles con registros de auditoría. Nuestras medidas actuales se describen en la página Seguridad y confianza, que forma parte de este DPA. Podemos cambiar una medida, pero no de forma que la protección global se debilite sustancialmente.

6. Subencargados

Nos concedes una autorización general para recurrir a los subencargados que aparecen en Subencargados. Cada uno está sujeto a condiciones de protección de datos no menos protectoras que este DPA, y respondemos plenamente ante ti de su cumplimiento. Antes de que un nuevo subencargado empiece a tratar tus datos personales, actualizamos esta página y lo anunciamos con al menos 30 días de antelación; puedes oponerte por motivos legítimos de protección de datos y, si no podemos resolver la objeción, cancelar la parte afectada del servicio.

7. Solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, te ayudamos a responder a las solicitudes de los interesados que ejercen sus derechos. Si recibimos directamente una solicitud así y se refiere a datos que tratamos por tu cuenta, te la reenviamos en lugar de responderla nosotros.

8. Violaciones de la seguridad de los datos personales

Te notificamos sin dilación indebida, y en cualquier caso en un plazo de 72 horas desde que tengamos conocimiento, cualquier violación de la seguridad que afecte a datos que tratamos para ti. La notificación describe lo ocurrido, las categorías y el volumen aproximado de los datos afectados, las consecuencias probables y las medidas adoptadas o previstas. Te ayudamos a cumplir tus propias obligaciones de notificación según los artículos 33 y 34 del RGPD.

9. Supresión y devolución

Mientras tu cuenta esté activa, puedes exportar o eliminar tus datos en cualquier momento. Cuando termina el servicio, eliminamos los datos personales tratados por tu cuenta en un plazo de 30 días, salvo que la ley exija conservarlos. Los entornos de vista previa y sus bases de datos son efímeros y se eliminan en cuanto dejan de ser necesarios.

10. Auditorías e información

Facilitamos la información necesaria para demostrar el cumplimiento del artículo 28 y, con un preaviso razonable y como máximo una vez al año, respondemos a un cuestionario de seguridad o a una auditoría realizada por ti o por un auditor independiente que designes, respetando la confidencialidad y sin interrumpir el servicio ni exponer a otros clientes. Cuando un informe de auditoría o una certificación cubra el punto en cuestión, podemos ofrecerlo en lugar de una auditoría presencial.

11. Transferencias internacionales

Cuando los datos personales salen del EEE o del Reino Unido, nos basamos en un mecanismo de transferencia reconocido por el RGPD: una decisión de adecuación cuando existe y, en otro caso, las cláusulas contractuales tipo de la Comisión Europea junto con el UK International Data Transfer Addendum, que se incorporan por referencia a este DPA, actuando EvonX como importador de datos.

12. Turquía

Cuando se aplica la ley turca, este DPA sirve como el acuerdo de tratamiento de datos exigido por la KVKK, contigo como veri sorumlusu (responsable) y EvonX como veri işleyen (encargado). Las transferencias al extranjero se realizan sobre la base permitida por el artículo 9 de la KVKK. Nuestra información en turco está en /tr/kvkk.

13. Prevalencia y cambios

Si este DPA contradice los términos del servicio en lo relativo al tratamiento de datos personales, prevalece este DPA. Podemos actualizarlo para reflejar cambios en la ley o en el servicio; anunciaremos los cambios importantes en esta página con una fecha actualizada. Preguntas y solicitudes de firma: legal@evonx.ai.