Tratamiento y transferencias internacionales de datos

1. Introducción

El presente documento explica cómo se tratan y se transfieren internacionalmente los datos personales de los usuarios de Clipia.ai en relación con la prestación de nuestros servicios de generación de contenido mediante inteligencia artificial (el «Servicio»).

Clipia LLC, una sociedad de responsabilidad limitada constituida conforme a las leyes del Estado de Wyoming, Estados Unidos (en adelante, la «Empresa» o «nosotros»), es el responsable del tratamiento de los datos personales tratados a través del Servicio.

Para el funcionamiento del Servicio, los datos personales son tratados por nuestro proveedor de infraestructura ubicado en la Federación de Rusia y por proveedores externos de modelos de inteligencia artificial y procesadores de pagos que pueden estar ubicados en distintos países. Al utilizar el Servicio, usted reconoce que sus datos personales pueden ser tratados en países distintos del suyo y transferidos a ellos, incluidas jurisdicciones cuya legislación de protección de datos puede diferir de la de su país de residencia.

2. Bases jurídicas del tratamiento y de la transferencia

Tratamos y transferimos datos personales sobre la base de una o varias de las siguientes bases jurídicas:

• Ejecución de un contrato: para ejecutar sus solicitudes de generación y prestar el Servicio que usted ha contratado
• Consentimiento: cuando usted haya dado su consentimiento para una actividad de tratamiento concreta, que puede retirar en cualquier momento
• Intereses legítimos: para proteger el Servicio, garantizar la calidad del servicio y prevenir abusos y fraudes
• Obligación legal: para cumplir la legislación aplicable, incluidos los requisitos fiscales y contables y las solicitudes legítimas de las autoridades públicas

3. Categorías de datos tratados

No recopilamos intencionadamente categorías especiales o sensibles de datos personales (como origen racial, origen étnico, convicciones políticas o religiosas, salud u orientación sexual). Si usted incluye voluntariamente dicha información en un prompt o en medios de referencia, se tratará como parte de su solicitud de generación.

4. Destinatarios y encargados del tratamiento externos

Para prestar el Servicio, compartimos datos personales con encargados y subencargados del tratamiento externos de las categorías indicadas a continuación, cada uno de ellos vinculado por un Acuerdo de Tratamiento de Datos (DPA). La identidad de los proveedores concretos con los que trabajamos es confidencial y comercialmente sensible; puede revelarse cuando lo exija la legislación aplicable o en respuesta a una solicitud legítima de una autoridad competente.

4.1. Categorías de encargados del tratamiento

Nuestra infraestructura principal de alojamiento y almacenamiento de archivos multimedia se encuentra en la Federación de Rusia. Ningún procesador de pagos revela nunca a la Empresa los datos completos de la tarjeta de pago: solo se comparten identificadores anonimizados del cliente y de la transacción.

En las compras cobradas en dólares estadounidenses, Stripe actúa como comerciante registrado (merchant of record) y trata sus datos de pago conforme a su propia política de privacidad y en su propia condición de responsable del tratamiento respecto de dicho tratamiento. Los datos que recibe (sus datos de pago, el país de facturación y el importe) los recopila Stripe directamente en el momento del pago y se utilizan para cobrar el pago, calcular el impuesto aplicable, emitir su recibo y gestionar los contracargos. Consulte la página Información de pago para obtener la descripción completa de este acuerdo.

4.2. Transferencias a proveedores de generación con IA

El acceso a los modelos de aprendizaje automático puede proporcionarse directamente o a través de socios tecnológicos (agregadores de infraestructura) que se encargan del enrutamiento, el equilibrio de carga, la conmutación por error y la seguridad de la integración. La identidad y los datos de los proveedores y socios concretos son confidenciales y comercialmente sensibles.

Se transmite: el texto del prompt, los medios de referencia, los parámetros de la solicitud (modelo, resolución, duración) y un ID de solicitud anonimizado.

No se transmite: la dirección de correo electrónico en claro, el nombre de usuario, la dirección IP, los datos de pago ni ningún contenido de la cuenta más allá de la solicitud concreta.

4.3. Transferencias a plataformas de medición publicitaria

Cuando usted se registra y confirma su dirección de correo electrónico, enviamos el hecho de esa conversión a plataformas de medición publicitaria ubicadas en los Estados Unidos, junto con un hash SHA-256 de su dirección de correo electrónico. El hash se utiliza exclusivamente para asociar la conversión con una impresión publicitaria y para evaluar el rendimiento de las campañas publicitarias.

Esta transferencia solo se produce para los usuarios ubicados fuera de la Federación de Rusia. Para los usuarios que acceden al Servicio desde el territorio de la Federación de Rusia, las etiquetas de las plataformas correspondientes no se cargan y no se produce ninguna transferencia de este tipo.

La dirección de correo electrónico en claro, el nombre de usuario, el contenido de los prompts y los resultados de generación nunca se envían a las plataformas de medición publicitaria.

Bases jurídicas: el consentimiento otorgado por el interesado al registrarse y aceptar las Condiciones del servicio, junto con nuestro interés legítimo en medir el rendimiento publicitario. Los datos en cuestión se registran primero en una base de datos ubicada en la Federación de Rusia, por lo que se trata de una transferencia transfronteriza de datos recopilados previamente y no de una recopilación primaria de datos en el extranjero.

5. Transferencias internacionales y garantías

Dado que nuestros encargados del tratamiento se encuentran en varios países, sus datos personales pueden transferirse a los Estados Unidos, la Federación de Rusia, la Unión Europea y otras jurisdicciones, y tratarse en ellos. Siempre que se transfieren datos personales a través de fronteras, aplicamos garantías adecuadas destinadas a protegerlos:

• Acuerdos de Tratamiento de Datos (DPA) con cada destinatario, incluidas cláusulas contractuales tipo cuando así se exija para las transferencias fuera del Espacio Económico Europeo o del Reino Unido
• Cifrado de los datos en tránsito a través de canales seguros (TLS 1.2 o superior)
• Minimización de datos: solo se transfieren los datos necesarios para cada finalidad
• Controles de acceso, registro y auditoría de las transferencias de datos
• Hash de los identificadores de usuario cuando sea factible

6. Plazos de conservación

• Contenido de generación: solo en tránsito; los proveedores de IA lo conservan durante un máximo de 30 días
• Correo electrónico e identificadores de cuenta: hasta que usted elimine su cuenta o retire su consentimiento
• Registros técnicos de supervisión de errores: un máximo de 30 días
• Datos de analítica web: un máximo de 14 meses
• Datos de pago: según lo exigido por PCI DSS y por la legislación fiscal y contable aplicable

7. Sus derechos

En función de su jurisdicción y de la legislación aplicable (como la Ley de Privacidad del Consumidor de California, en su versión modificada por la CPRA, o el Reglamento General de Protección de Datos de la UE), usted puede tener derecho a:

• Acceder a los datos personales que conservamos sobre usted y conocer cómo se tratan y a quién se comunican
• Rectificar o suprimir sus datos personales
• Limitar u oponerse a determinados tratamientos, y excluirse de cualquier venta o cesión de datos personales (no vendemos sus datos personales)
• Detener la transferencia: las transferencias necesarias para prestar el Servicio se basan en la ejecución del contrato, no en el consentimiento, por lo que no pueden detenerse por separado del propio Servicio: el cierre de su cuenta pone fin a ellas. Los consentimientos que haya otorgado para finalidades distintas pueden retirarse por sí solos, sin cerrar la cuenta
• Portabilidad de los datos: recibir sus datos en un formato portátil y de lectura mecánica
• No discriminación por ejercer cualquiera de estos derechos

Para ejercer cualquier derecho, escriba a legal@clipia.ai. Respondemos en el plazo exigido por la legislación aplicable (por lo general, entre 30 y 45 días). Cuando una solicitud se rija por la Ley Federal de Rusia n.º 152-FZ, el operador ruso responde en un plazo de 10 días hábiles desde su recepción; dicho plazo puede prorrogarse como máximo 5 días hábiles, previa notificación a usted en la que se indiquen los motivos de la prórroga. Si considera que se han vulnerado sus derechos, puede presentar una reclamación ante la autoridad de protección de datos competente (por ejemplo, la California Privacy Protection Agency) o interponer una demanda ante un tribunal competente.

8. Modificaciones

Podemos actualizar este documento periódicamente. Comunicaremos los cambios sustanciales (por ejemplo, nuevas categorías de destinatarios o nuevas jurisdicciones de destino) con al menos 30 días naturales de antelación por correo electrónico y mediante un aviso en el servicio.

9. Contacto

Responsable del tratamiento

Autoridad de control

Si no está satisfecho con la forma en que tratamos sus datos personales, puede ponerse en contacto con la autoridad de protección de datos competente respecto de usted (por ejemplo, la California Privacy Protection Agency en los Estados Unidos, o la autoridad de control correspondiente en el Espacio Económico Europeo) o solicitar tutela ante un tribunal competente.

Documentos relacionados

• Política de privacidad
• Condiciones del servicio
• Política de cookies