Acuerdo de Tratamiento de Datos (DPA)

1. Roles de las partes

El cliente es el responsable del tratamiento: determina los fines y medios del tratamiento de los datos personales. OMVYX S.L. actúa como encargado del tratamiento y trata dichos datos únicamente por cuenta y según las instrucciones documentadas del responsable, para prestar los servicios contratados.

2. Objeto, naturaleza y finalidad del tratamiento

El tratamiento tiene por objeto permitir a OMVYX prestar servicios de automatización de procesos sobre el stack de herramientas del cliente. La naturaleza del tratamiento incluye, según el caso, recogida, consulta, organización, conservación temporal y comunicación de datos entre los sistemas autorizados por el responsable. La finalidad es exclusivamente la ejecución de los procesos automatizados acordados.

3. Duración

El tratamiento se mantiene mientras esté vigente el contrato de prestación de servicios. Los plazos de conservación concretos se definen en el anexo del DPA y dependen del proceso implementado; en defecto de instrucción específica, se conservan únicamente durante el tiempo necesario para prestar el servicio.[Pendiente de completar — plazos de retención por tipo de proceso en el anexo contractual]

4. Tipos de datos y categorías de interesados

Las categorías de datos personales y de interesados dependen del proceso que el cliente decida automatizar. Con carácter general pueden incluir:

• Datos identificativos y de contacto (nombre, correo, teléfono).
• Datos profesionales y de la relación comercial.
• Contenido de comunicaciones gestionadas por el proceso.
• Categorías de interesados: clientes, contactos comerciales, empleados o usuarios del responsable, según el caso de uso.

OMVYX no solicita el tratamiento de categorías especiales de datos (art. 9 RGPD). Si un proceso pudiera implicarlas, debe acordarse expresamente y documentarse en el anexo del DPA.

5. Obligaciones del encargado (art. 28.3 RGPD)

OMVYX, como encargado, se compromete contractualmente a:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas apropiadas (art. 32 RGPD).
• Respetar las condiciones para recurrir a otro encargado (subprocesadores).
• Asistir al responsable para responder a solicitudes de ejercicio de derechos de los interesados.
• Asistir al responsable en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto.
• Suprimir o devolver los datos al finalizar la prestación, según elija el responsable, salvo obligación legal de conservación.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

6. Uso de los datos del cliente

OMVYX se compromete, como obligación contractual, a no utilizar los datos del cliente para fines distintos de la prestación del servicio, salvo autorización expresa del responsable o cuando lo exija una obligación legal. El alcance concreto de este compromiso —incluida la posición frente al entrenamiento de modelos con datos del cliente— se documenta en el anexo del DPA.[Pendiente de completar — alcance de no reutilización y posición sobre entrenamiento, según proveedores finales]

7. Subprocesadores

OMVYX puede recurrir a proveedores técnicos (subprocesadores) necesarios para prestar el servicio, imponiéndoles obligaciones de protección de datos equivalentes a las de este DPA. Las categorías de subprocesadores se detallan en la página de Subprocesadores. El responsable será informado de cualquier cambio previsto en la incorporación o sustitución de subprocesadores, pudiendo oponerse conforme al contrato.

8. Transferencias internacionales

Cuando un subprocesador trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en un mecanismo válido conforme al Capítulo V del RGPD (por ejemplo, decisión de adecuación o Cláusulas Contractuales Tipo de la Comisión Europea), que se documenta en el anexo del DPA cuando aplique.

9. Medidas de seguridad (art. 32 RGPD)

OMVYX aplica medidas técnicas y organizativas diseñadas bajo principios de seguridad empresarial, que incluyen control de accesos, cifrado en tránsito y en reposo, aislamiento de datos por organización, registro de actividad (logs) y trazabilidad. El detalle de las medidas vigentes se recoge en el anexo de seguridad del DPA.

10. Violaciones de seguridad

OMVYX notificará al responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, facilitando la información razonablemente disponible para que el responsable cumpla sus obligaciones de notificación.

11. Supresión o devolución

Finalizada la prestación del servicio, OMVYX suprimirá o devolverá al responsable los datos personales, a elección de este, y eliminará las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.

12. Formalización

El DPA definitivo, con sus anexos (categorías de datos, medidas de seguridad, lista de subprocesadores y plazos de retención), se firma como parte del contrato de prestación de servicios. Para solicitarlo o resolver dudas, contacta con nosotros en hola@omvyx.ai.

Los apartados marcados como pendientes se completan con la información definitiva en el anexo contractual antes de la firma.