Acuerdo de tratamiento de datos · Graphorum

En caso de discrepancia, prevalece la versión en italiano. Lee la versión en italiano

En resumen

Tratamos tus datos solo siguiendo tus instrucciones y solo para prestarte Graphorum.
Una instancia por cliente: ningún dato compartido con los demás.
Violaciones de datos: te las notificamos en un plazo de 48 horas desde su descubrimiento.
Nuevos subencargados: preaviso de 30 días y derecho de oposición.
Al final lo descargas todo y lo eliminas tú; nosotros borramos las copias restantes.

Partes y objeto

Este acuerdo forma parte de los términos del servicio y se aplica a cada Cliente de Graphorum («Responsable»). AM Solutions di Vera Alexandru Nicolae («Encargado») trata los datos personales contenidos en los Datos del Cliente por cuenta del Responsable, conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y al Código de Privacidad italiano.

Responsable: AM Solutions di Vera Alexandru Nicolae
Forma jurídica: Empresa individual
Sede: Via Potenza 12, 25125 Brescia (BS)
NIF-IVA: 04419500980
Código fiscal: VRELND86B24Z129Y
Correo: [email protected]
Sitio web: www.amsolutionsbs.it

Naturaleza, finalidad y duración del tratamiento

Naturaleza: alojar, conservar, procesar con inteligencia artificial, sincronizar con los canales conectados, hacer copias de seguridad, exportar y eliminar los Datos del Cliente; entrenar el modelo del Cliente; prestar asistencia y mantenimiento.
Finalidad: únicamente prestar Graphorum al Responsable, en las modalidades PC local o Cloud, y los servicios de asistencia relacionados.
Duración: la del contrato, más el periodo concedido para descargar y eliminar los datos.

Interesados y categorías de datos

Interesados: clientes, proveedores, colaboradores, empleados y otros contactos del Responsable; los usuarios de su Plataforma; las personas que escriben al Responsable por los canales conectados.
Datos: identificativos y de contacto; contenido de correos, chats y mensajes en redes sociales; documentos y adjuntos; datos contables y comerciales; grabaciones de voz y transcripciones, si el Responsable usa la voz; registros de acceso y de actividad.
Categorías especiales (art. 9 RGPD) y datos penales (art. 10): Graphorum no está pensado para tratarlos. Si el Responsable los introduce, evalúa su base jurídica y las medidas adecuadas y lo comunica al Encargado.

Instrucciones del Responsable

El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable. Son instrucciones el contrato, este acuerdo, los ajustes que el Responsable elige en la Plataforma (por ejemplo qué canales conectar, qué servicios de IA externos activar, cuánta autonomía dar a los agentes) y las solicitudes escritas de asistencia. Si una instrucción le parece contraria a la ley, el Encargado lo comunica de inmediato.

Obligaciones del Encargado

Garantizar que las personas autorizadas para el tratamiento estén sujetas a confidencialidad e instruidas.
Adoptar las medidas de seguridad del art. 32 RGPD descritas a continuación y mantenerlas actualizadas.
No usar los Datos del Cliente para fines propios, en particular para entrenar modelos de inteligencia artificial distintos del modelo del Responsable, ni para otros clientes ni para terceros.
Ayudar al Responsable a responder a las solicitudes de los interesados (arts. 15–22), con las funciones de la Plataforma (búsqueda, exportación, «Olvidar», eliminación) y, si es necesario, con asistencia.
Ayudar al Responsable a cumplir las obligaciones de los arts. 32–36: seguridad, notificación de violaciones, evaluación de impacto, consulta previa.
Notificar al Responsable toda violación de datos personales sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde su descubrimiento, con la información disponible, para que el Responsable pueda cumplir el plazo de 72 horas ante la autoridad de control (art. 33).
Llevar el registro de las actividades de tratamiento realizadas por cuenta de los responsables (art. 30, apdo. 2).
Poner a disposición la información necesaria para demostrar el cumplimiento de este acuerdo.

Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados indicados a continuación. El Encargado impone a cada uno las mismas obligaciones de protección que este acuerdo y responde de ellos ante el Responsable. Antes de añadir o sustituir un subencargado, el Encargado avisa al Responsable con 30 días de antelación; el Responsable puede oponerse por motivos razonables y, si no se encuentra una solución, rescindir sin coste.

Subencargado	Qué hace	Dónde	Garantías	Cuándo
Hetzner Online GmbHAlemania (UE)	Servidores de la modalidad cloud: computación, almacenamiento y copias de seguridad de las instancias de los clientes	Centros de datos en Alemania y Finlandia (UE)	Tratamiento en la UE	Modalidad cloud
Cloudflare, Inc.Estados Unidos	Red y seguridad: DNS, protección del sitio y túnel cifrado hacia el PC local o la instancia cloud	Red global, con puntos de presencia en la UE	EU-U.S. Data Privacy Framework y cláusulas contractuales tipo (Decisión UE 2021/914)	Ambas modalidades
Stripe Payments Europe, Ltd.Irlanda (UE)	Pagos con tarjeta y domiciliación SEPA, gestión de suscripciones	UE; transferencias a Stripe, Inc. (Estados Unidos)	EU-U.S. Data Privacy Framework y cláusulas contractuales tipo	Pagos
Intermediario para la factura electrónica (por defecto: Fatture in Cloud, grupo TeamSystem)Italia	Emisión y envío de las facturas electrónicas al Sistema de Intercambio (SdI) y conservación conforme a la normativa	Italia	Tratamiento en la UE	Facturación
Meta Platforms Ireland Ltd.Irlanda (UE)	WhatsApp Business, Facebook e Instagram, solo si el cliente conecta estos canales	UE; transferencias a Meta Platforms, Inc. (Estados Unidos)	EU-U.S. Data Privacy Framework y cláusulas contractuales tipo	Solo si el cliente conecta los canales
Proveedores de modelos de IA externos elegidos para el cliente (p. ej., Anthropic, OpenAI, Google, Mistral AI)UE o Estados Unidos, según el proveedor	Procesamiento de solicitudes concretas cuando un servicio de IA externo está activado; nunca para entrenar sus modelos	Indicado en la consola para cada proveedor activo	Decisión de adecuación, EU-U.S. Data Privacy Framework o cláusulas contractuales tipo; contratos que excluyen el entrenamiento con los datos	Solo si se activan
Proveedor de correos transaccionales (por definir, p. ej., Brevo o Postmark)Por definir	Envío de facturas, avisos, recordatorios y respuestas a los tickets	Por definir	Por definir antes de la activación	Comunicaciones de servicio

Con la modalidad PC local, los Datos del Cliente permanecen en el PC del Responsable: Hetzner no interviene y Cloudflare solo transporta el tráfico cifrado del túnel. Para pagos y facturas (Stripe e intermediario SdI), AM Solutions actúa como responsable de los datos de facturación del Cliente: los indicamos aquí para que la información sea completa.

Transferencias fuera de la Unión Europea

Los servidores de la modalidad cloud están en la Unión Europea. Si un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia solo se realiza con las garantías del capítulo V del RGPD: decisión de adecuación (incluido el EU-U.S. Data Privacy Framework para los proveedores certificados) o cláusulas contractuales tipo (Decisión (UE) 2021/914), con las medidas complementarias necesarias.

Medidas técnicas y organizativas

Área	Medidas
Aislamiento	Una instancia por cliente, con base de datos, cerebro, archivos y modelo separados; ningún componente compartido que contenga Datos del Cliente.
Cifrado	Acceso desde fuera de la oficina solo por HTTPS en el túnel cifrado; copias de seguridad cifradas con AES-256-GCM y clave derivada de la contraseña (scrypt); credenciales y claves API cifradas en reposo en la caja fuerte de la plataforma.
Acceso	Nombre de usuario y contraseña personales, guardados solo como huella (scrypt con sal); verificación en dos pasos con app Authenticator (TOTP) o por correo; bloqueo de 15 minutos tras demasiados intentos; sesión en cookie HttpOnly y SameSite=Strict; permisos por persona y por agente; claves API mostradas una sola vez.
Asistencia	Acceso del Encargado solo mediante una conexión firmada y limitada en el tiempo, anotada en el registro de la instancia y visible para el Responsable.
Trazabilidad	Registro de las operaciones de usuarios, agentes y claves API, que el Responsable puede filtrar y exportar en CSV.
Mensajes entrantes	Clasificación que reconoce spam, estafas y phishing; el contenido de los mensajes recibidos no puede modificar las reglas y los permisos del Responsable.
Red	Modalidad PC local: túnel de Cloudflare saliente, ningún puerto abierto en el router; modalidad cloud: instancias tras un túnel, sin servicios expuestos directamente.
Continuidad	Copias de seguridad periódicas y verificadas; procedimiento de restauración en un PC nuevo o en una instancia nueva.
Servicios de IA externos	Desactivados de serie; solo se activan por elección, para trabajos concretos; las claves de los proveedores permanecen en el servidor de AM Solutions y nunca se envían a las instancias; contratos que excluyen el uso de los datos para entrenar los modelos del proveedor.
Desarrollo y actualizaciones	Actualizaciones probadas antes de publicarse; comprobación automática cada 5 minutos con aviso; correcciones de seguridad publicadas con prioridad.
Personas	Acceso a los datos solo para quien lo necesita; compromiso de confidencialidad; formación en privacidad y seguridad.
Modalidad PC local	Datos en el PC del Responsable, accesible desde fuera solo por el túnel cifrado sin puertos abiertos; la custodia física del PC corresponde al Responsable.

Verificaciones

El Responsable puede verificar el cumplimiento de este acuerdo solicitando información y documentos o, con al menos 30 días de preaviso, mediante una inspección realizada por él o por un auditor sujeto a confidencialidad, en horario laboral y sin comprometer la seguridad de los demás clientes. Los costes de la inspección corren a cargo del Responsable, salvo que se detecten incumplimientos del Encargado.

Fin del tratamiento

Al final del contrato, el Responsable descarga todos los Datos del Cliente, incluido su modelo, y los elimina él mismo con las funciones de la Plataforma, recibiendo un certificado de eliminación. El Encargado elimina las copias residuales (incluidas las copias de seguridad) en un plazo de 30 días desde el final del periodo de descarga, salvo que la ley exija conservarlas.

Responsabilidad y prevalencia

Cada parte responde conforme al art. 82 RGPD. En caso de contradicción entre este acuerdo y los demás documentos contractuales, en materia de protección de datos prevalece este acuerdo.

Versión 1.0 del 9 de octubre de 2026 · AM Solutions di Vera Alexandru Nicolae. Las versiones anteriores se solicitan por correo.