Tratamiento de datos (RGPD)

Este anexo a las condiciones de venta es el acuerdo de tratamiento de datos exigido por el artículo 28 del Reglamento general de protección de datos (RGPD). Se aplica cuando Kroov (EVA AI TECHNOLOGIES, 5 rue Ellenhard, 67000 Strasbourg, France) trata datos personales por cuenta del cliente, responsable del tratamiento, en el marco del servicio. Entra en vigor con el contrato y dura tanto como este, y después hasta que se borren los datos.

• Asistente de soporte (Nina): recepción, clasificación, análisis por IA y respuestas a los mensajes de los propios clientes del cliente (correo, WhatsApp, Gmail, Outlook, reseñas de Google). Interesados: clientes y prospectos del cliente. Datos: nombre, correo, teléfono, mensajes, adjuntos, respuestas.
• Asistente telefónico (Sam): llamadas hechas a petición del cliente, conversación de voz tratada en tiempo real por IA, transcripción y resumen. Interesados: las personas llamadas. Datos: nombre y número, contenido de la conversación, transcripción, resumen, petición de no volver a ser llamado. El audio no se graba.
• Contenido, bases de conocimiento y memoria: almacenamiento, indexación y uso por los asistentes de los documentos y la información que el cliente coloca allí, que pueden contener datos sobre sus contactos.
• Publicación e integraciones: envío de contenido y mensajes a las cuentas que el cliente conecta.

El cliente se abstiene de confiar datos sensibles (salud, opiniones, datos de infracciones penales…) salvo que sea necesario y exista una base legal adecuada.

Kroov:

• trata los datos solo según las instrucciones documentadas del cliente, que son el contrato, los ajustes del espacio y las solicitudes hechas en la aplicación; informa al cliente si una instrucción parece infringir el RGPD;
• vela por que las personas autorizadas a tratar los datos estén sujetas a confidencialidad;
• aplica las medidas de seguridad descritas más abajo;
• ayuda al cliente, en la medida de lo posible, a responder a las solicitudes de los interesados, a garantizar la seguridad, a notificar las violaciones y a realizar una evaluación de impacto;
• notifica al cliente cualquier violación de datos personales que le afecte lo antes posible, y como muy tarde 48 horas después de tener conocimiento de ella, con la información disponible;
• al final del contrato, o cuando se elimina el espacio, borra los datos (el cliente puede exportarlos antes), salvo que la ley exija conservarlos; las copias de seguridad se eliminan por rotación en 14 días;
• pone a disposición del cliente la información necesaria para demostrar el cumplimiento y permite auditorías, como máximo una vez al año con un preaviso de 30 días, a cargo del cliente, por un auditor sujeto a confidencialidad.

El cliente autoriza a Kroov a recurrir a los subencargados cuya lista actualizada, con la prestación, el país y la garantía que enmarca cada transferencia, puede consultarse en la aplicación (Ajustes › Seguridad y datos, apartado «Subencargados») y se envía a petición en support@kroov.ai. Kroov informa al cliente de cualquier adición o sustitución al menos 30 días antes; el cliente puede oponerse por motivos legítimos y, si no hay acuerdo, resolver sin coste. Kroov impone a cada uno obligaciones equivalentes de protección de datos y sigue siendo responsable ante el cliente.

Cuando un subencargado trata datos fuera de la Unión Europea, la transferencia se apoya en una decisión de adecuación (Marco de Privacidad de Datos UE–EE. UU. para las empresas certificadas) o en las cláusulas contractuales tipo de la Comisión Europea.

El cliente:

• dispone de una base legal para cada tratamiento que encomienda a Kroov, e informa a los interesados, en particular a sus clientes sobre el uso de un asistente de soporte por IA;
• solo llama, a través del asistente telefónico, a personas a las que tiene derecho a contactar, no hace prospección automatizada y respeta las solicitudes de oposición;
• fija el plazo de conservación de las transcripciones y de los archivos según sus necesidades;
• comunica a Kroov sin demora cualquier solicitud de un interesado que requiera su ayuda.

• Alojamiento en la Unión Europea, tráfico cifrado (HTTPS).
• Tokens de acceso de las cuentas conectadas cifrados (AES-256-GCM), claves en un gestor de secretos.
• Control de acceso en cada solicitud, según la pertenencia al espacio, el rol y la visibilidad de los datos.
• Registro de auditoría de las acciones sensibles, conservado 13 meses.
• Archivos en almacenamiento privado, servidos mediante enlaces temporales.
• Limitación de tasa y verificación de firma de las notificaciones entrantes.
• Ninguna grabación de audio de las llamadas; plazos de conservación ajustables y purgas automáticas.
• Copias de seguridad cifradas de la base, eliminadas por rotación.