Encargo de tratamiento de datos (DPA)

1. Roles y ámbito

• Respecto del contenido del cliente (correos, eventos, contactos, archivos, mensajes y llamadas que el asistente procesa, y los datos de las personas que aparecen en ellos), el cliente es responsable del tratamiento y Albion es encargado. Si el cliente es a su vez encargado de otro responsable, Albion actúa como subencargado.
• Albion es responsable independiente de los datos de cuenta, facturación, seguridad, prevención del fraude y uso del servicio, según su Política de privacidad. Este DPA no se aplica a esos tratamientos.
• Este DPA se aplica al RGPD (UE), al UK GDPR y a la Data Protection Act 2018, y a las leyes nacionales equivalentes. Entra en vigor al aceptar los Términos y dura mientras Albion trate datos del cliente.

Representante en la UE del encargado (art. 27 del RGPD): Albion Wealth Services Europe, P. I. Casería del Rey, 5, 29532 Mollina (Málaga), España, contact@albionwealthservices.com.

2. Objeto, naturaleza y finalidad (Anexo I)

• Objeto: prestar el asistente personal: leer, resumir, buscar, redactar y enviar correo; gestionar calendarios, reuniones y contactos; gestionar tareas, recordatorios y archivos; atender llamadas y mensajes de terceros (recepcionista); enviar avisos y briefings; consultar y operar integraciones conectadas por el cliente.
• Naturaleza del tratamiento: recogida, registro, organización, estructuración, almacenamiento, consulta, uso, comunicación por transmisión, supresión, y procesamiento mediante modelos de lenguaje.
• Duración: la del contrato, más el periodo de supresión de la cláusula 11.
• Tipos de datos: identificación y contacto (nombre, correo, teléfono), contenido de comunicaciones, datos profesionales, agenda y ubicación de eventos, archivos, grabaciones/transcripciones de llamadas y cualquier dato que el cliente incluya en su contenido. El cliente no debe instruir el tratamiento de categorías especiales de datos o datos penales salvo que sea necesario y lícito; si aparecen, se tratan solo para ejecutar sus instrucciones.
• Interesados: el propio cliente y su personal, y los contactos, clientes, proveedores, invitados, remitentes, destinatarios y personas que llaman o escriben al asistente.

3. Instrucciones del responsable

Albion tratará los datos solo siguiendo las instrucciones documentadas del cliente, que son: estos Términos, este DPA, la configuración del panel y las órdenes que el cliente dé al asistente por sus canales. Albion informará de inmediato al cliente si considera que una instrucción infringe la normativa de protección de datos. Albion no tratará los datos para sus propios fines, no los venderá ni los usará para publicidad ni para entrenar modelos de IA.

4. Confidencialidad

Albion garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal equivalente, y que el acceso se limita a quien lo necesita para prestar el servicio, para soporte a petición del cliente o por seguridad.

5. Seguridad (Anexo II)

Albion aplica medidas técnicas y organizativas adecuadas al riesgo, que incluyen:

• Cifrado en tránsito (TLS) y cifrado en reposo de credenciales de integraciones (AES-256-GCM); secretos fuera del código fuente.
• Aislamiento lógico entre clientes y control de acceso por fila (RLS) en la base de datos; mínimo privilegio y separación de entornos.
• Autenticación del titular, acceso interno restringido y registrado, y copias de seguridad.
• Clasificación de riesgo de las acciones del asistente, confirmación explícita antes de acciones sensibles y registro de auditoría de las acciones ejecutadas.
• Supervisión y alertas de errores y de configuración, gestión de vulnerabilidades y actualizaciones.
• Minimización: al proveedor de IA se envía solo el contenido necesario para cada petición.

6. Asistencia al responsable

Teniendo en cuenta la naturaleza del tratamiento, Albion asistirá al cliente, con medidas técnicas y organizativas, para atender los derechos de los interesados. Si un interesado se dirige a Albion respecto de datos del cliente, Albion se lo trasladará sin demora y no responderá salvo instrucción del cliente o exigencia legal. Albion también ayudará al cliente en evaluaciones de impacto, consultas previas y obligaciones de seguridad, en lo razonablemente necesario.

7. Violaciones de seguridad

Albion notificará al cliente sin dilación indebida, y en todo caso en un máximo de 48 horas, tras tener conocimiento de una violación de seguridad que afecte a datos del cliente, con la información de que disponga (naturaleza, datos y personas afectadas, consecuencias probables, medidas adoptadas) y la irá completando. El cliente decide si notifica a la autoridad y a los afectados.

8. Obligaciones del cliente como responsable

• Tener base legal para el tratamiento y para encargárnoslo, e informar a los interesados (incluidos quienes interactúan con el asistente) de forma adecuada.
• Informar a las personas que hablan o escriben con el asistente de que es un sistema automatizado y, en las llamadas, de la transcripción o grabación, obteniendo los consentimientos exigibles.
• Dar instrucciones lícitas, configurar el servicio con criterio y conectar solo cuentas que pueda legítimamente conectar.
• No enviar a Albion datos que no sean necesarios, ni categorías especiales sin necesidad.

9. Subencargados (Anexo III)

• El cliente concede autorización general para recurrir a los subencargados publicados en /subprocessors.
• Albion avisará de altas o sustituciones con al menos 15 días de antelación (por correo, WhatsApp o el panel). El cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo; si no se alcanza una solución, podrá resolver el contrato sin penalización con reembolso proporcional del periodo prepagado no consumido.
• Albion impone a cada subencargado obligaciones de protección de datos equivalentes y responde frente al cliente de su cumplimiento.

10. Transferencias internacionales

Los datos se alojan en la UE (Alemania e Irlanda). Si un subencargado trata datos fuera del EEE o del Reino Unido, Albion se asegura de que existe un mecanismo válido: decisión de adecuación (incluido el Marco de Privacidad de Datos UE–EE. UU. y la extensión UK–EE. UU.), cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) y, para el Reino Unido, el Addendum o el IDTA, con medidas complementarias cuando proceda. Esas cláusulas se incorporan por referencia a este DPA cuando son necesarias.

11. Supresión o devolución

Al terminar el servicio, o antes si el cliente lo pide, Albion borrará o devolverá los datos del cliente (a elección de este) en un máximo de 30 días de los sistemas activos y 90 días de las copias de seguridad, salvo que la ley exija conservarlos (por ejemplo, facturación, 6 años, como responsable independiente). El cliente puede exportar su información desde el panel o solicitándola antes del cierre.

12. Información y auditoría

Albion pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este DPA y permitirá auditorías razonables (preferentemente por cuestionario y documentación, y presenciales solo si la normativa lo exige), con aviso previo de 30 días, durante horario laboral, sin comprometer la seguridad ni los datos de otros clientes, y a costa del cliente.

13. Responsabilidad

La responsabilidad de cada parte por este DPA se rige por la cláusula de limitación de responsabilidad de los Términos de servicio, sin perjuicio de los derechos de los interesados frente a cualquiera de las partes ni de lo que la normativa de protección de datos no permita limitar.

14. Prelación, ley y contacto

En caso de conflicto sobre protección de datos, prevalece este DPA sobre los Términos. Se rige por la ley aplicable a los Términos, sin perjuicio de que las cláusulas contractuales tipo se rijan por la ley que establezcan. Contacto del encargado: Albion Wealth Services, Ltd, 66 Paul Street, London EC2A 4NA, Reino Unido, contact@albionwealthservices.com.

Anexos

Anexo I: cláusula 2. Anexo II: cláusula 5. Anexo III: lista de subencargados.